本次系列文章以及下系列文章首选都会在公众号先行发布，如果你想看到最新文章，不要犹豫请关注我们。

微信id:sec-redclub

概述

• 开始web常见漏洞攻防讲解之前，我们给大家简单介绍一下我们课程靶场，其实整体来说比较简单，如果没有一个合理的学习方法，在渗透测试这块整体提高也比较慢，漏洞挖掘src是个不错选择，但是如果经验比较好，在src方面就比较吃力，那么初了src以外，就没有一种好的选择了，经过长时间培训，找到了几套不错漏洞靶场练习平台。
• PHP语言靶场选这里主要选择三个PHP靶场进行渗透测试联系，我在这里选择也主要是以培训为主，因为在实际讲解过程中需要利用不同的场景来进行讲解。

php靶场

Bwapp靶场

Bwapp是一个漏洞集成平台，是一个漏洞功能特别齐全的漏洞靶场，如果代码功底比较好，完全可以进行二次开发，加入自己喜欢模块。
Bwapp渗透测试文章：[BWAPP：一款非常好用的漏洞演示平台 http://www.freebuf.com/sectool/76885.html
Bwapp下载地址：https://sourceforge.net/projects/bwapp/


直接进行下载即可。下载完以后我们可以进行安装。安装步骤其实也比较简单，下载源码如下图所示

主要设置几个文件即可，一个是需要修改配置文件，主要是要和你本地数据库进行连接，修改成你自己本地数据库密码，我们本次采用phpstudy集成环境进行安装靶场环境（phpstudy：http://www.phpstudy.net/）

根据自己需求进行下载即可，你可以选择phpstudy也可以选择jspstudy下载。下载完phpstudy如下所示

主要源码都是放在WWW目录下面，然后可以进行修改bwapp源码，主要修改配置文件config.inc.php文件

然后把username、database修改成自己本地对应即可。

我这里mysql账号和密码默认都是root。设置好以后可以直接在浏览器访问安装即可。

安装完以后，出现这个页面证明安装成功。账号和密码默认是bee/bug直接可进行登录。登录成功以后就可以进行愉快测试了。

bwapp靶场安装成功。

webbug靶场安装介绍

webbug靶场其实安装步骤和bwapp安装步骤一样只是修改核心配置文件，让数据库可以成功建立即可。webbug平台1.0为测试版本，由226safe成员小小艾_Joker收集制作整理。在运用过程中大家可以自行修改源码做到自己满意的程度，如果你乐于分享，也可以给我们意见或建议，再或者，制作你的环境发给我们
下载地址：http://www.webug.org/

下载好源码以后，可以直接进行测试。如果想成功测试，需要把里面每一个配置文件，都改成你本地数据库连接文件

这是我本地数据库连接文件，数据库、账号、密码都是相对应的。Test文件夹里面每一个配置文件你都需要进行更改，才可以进行测试。

安装成功以后如下图所示，也可以根据我们实际需求进行修改，增加一些内容或者是删除一些内容，作者只是把框架给我们搭建起来。

所以后续我们可以根据我们自己需求来进行更改。

xvwa靶场

xvwa靶场也是渗透测试比较常用一个案例，内容做的比较好，集成了一些其它漏洞平台，漏洞比较形象。适合初学者进行漏洞学习。
Xvwa渗透测试基础教程http://www.freebuf.com/news/82125.html
Xvwa下载地址：链接：http://pan.baidu.com/s/1hq97I76密码：jm4j
下载完成以后如下图所示

改成自己相应数据库、账号和密码

这是我本地数据库建立的数据库

如果是第一次则需要进行新建，直接进行setup即可。

安装成功以后就可以进行漏洞测试了。

dvwa靶场

dvwa靶场是一个业界用起来做案例比较多的靶场了，在这里就不详细进行介绍了。安装和前几种方法一样，修改配置文件，直接进行setup即可安装成功。
Dvwa渗透测试案例：http://www.freebuf.com/?s=dvwa
Dvwa下载地址：http://www.dvwa.co.uk/
下载好以后如下图

修改config文件

利用账号和密码 admin/password进行登录即可

这是安装成功界面。

zvuldrill靶场

最后介绍zvuldrill靶场，因为zvuldrill靶场看起来像一个真实网站，它没有明确和你说哪里是什么问题，让你去找相应的问题点可能出现在哪里，这个你完全可以进行二次开发，增加其它漏洞。
下载地址：https://github.com/710leo/ZVulDrill
下载完以后如下所示

这个也需要进行相应修改，修改配置文件即可进行安装

修改完以后可以进行安装，安装成功以后如下面所示

你可以进行愉快测试，留言地方可能存在跨站也可能存在注入，所以后续文章中我们会介绍上面靶场，可能不会全部内容进行介绍，会介绍一部分，其它的需要大家进行自己挖掘。这个靶场最好一点就是每个知识点需要你平时测试网站一样，漏洞需要自己进行挖掘。每一个可能存在漏洞地方大家都不要放过。
PHP漏洞靶场就给大家介绍到这里。

Jsp靶场

那么jsp靶场也需要大家进行挖掘，那么我们也选择两个给大家进行介绍，这里选择webgoat和wavsep靶场。
如果你想利用jsp靶场，那么首先需要有一个适合自己环境，这里选择jspstudy环境来进行搭建。Jspstudy最好一点就是和phpstudy一样是集成环境，可以进行一键安装，适合新手直接使用。

jspstudy

Jspstudy下载地址：http://www.phpstudy.net/a.php/211.html

安装比较简单这里就不给大家进行安装，傻瓜式进行安装，根据提示安装即可。我本机安装如下显示

直接双击jspstudy运行即可。运行界面如下

运行jspstudy成功以后，我们需要编辑一下tomcat用户文件，如果默认不编辑是没有用户。我们后续需要上传这两个漏洞靶场war文件，所以提前在这里修改一下tomcat用户文件，文件夹中一种有两个，两个主要含义是版本不同，你可以根据自己需求进行选择，这里我选择第一个进行测试


这里主要增加一个管理员用户，账号和密码分别是admin/1234

<user username="admin"password="1234" roles="manager-gui"/>

然后再浏览器访问http://localhost:8080/manager/html

输入我们设置的用户名和密码即可成功登陆tomcat后台

webgoat

webgoat下载地址：https://github.com/WebGoat/WebGoat-Archived-Releases

这里有多个版本进行选择，你也可以下载最新版本进行测试。把你下载好的war文件进行部署即可。

部署成功以后，会弹出一个对话框，来提示你输入用户名和密码，默认用户名和密码为guest/guest

wavsep靶场

wavsep靶场其实和webgoat靶场靶场一样，安装顺序基本上一样，利用tomcat进行安装。成功传上去以后需要我们进行安装，填写我们本地数据库账号和密码

然后点击发送，出现下面页面证明安装成功。

然后再次访问这个地址

出现页面就可以进行jsp网站漏洞靶场测试。除了以上测试以外也可以进行源码分析，源码分析也是按照上面地址进行下载源码，利用eclipse进行源码分析
webgoat源码分析

wavsep源码分析

下节教程主要给大家对应上面靶场进行web漏洞分析和攻击，然后会涉及一些源码审计，希望大家进行关注。