练习环境选错，要么浪费时间，要么越练越偏。这篇按"你现在会什么"来给建议。

本地靶场：最该先有的那一个

用 Docker 或虚拟机在本机跑一套有漏洞的 Web 应用（DVWA、Pikachu、Juice Shop 等）。

  • 好处：完全离线、随便折腾、可以随时重置、不受网络影响
  • 适合：刚入门，还在理解"什么是注入、为什么能注入"的阶段
  • 代价：需要会一点 Docker 或虚拟机操作

在线靶场：省事，但有边界

很多平台提供开箱即用的环境，注册就能用。

  • 好处：零配置，题目有引导
  • 注意：只在你被授权的那个环境里操作，别拿同网段的其他目标试手

CTF 平台：练"发现问题"的能力

CTF 更接近解题，考察的是在有限信息下找到突破口。适合已经能独立复现基础问题之后，用来练思维和速度。

  • 从 Web 方向和杂项（Misc）入手最友好
  • 不用追求排名，做完一题把题解思路写下来比刷十题有用

我的建议顺序

  1. 本地靶场把基础问题过一遍（能讲清原理）
  2. 在线靶场换几个不同技术栈的题，适应陌生环境
  3. CTF 练手速和思路
  4. 有实力之后去看漏洞赏金项目，从"读别人的报告"开始

无论用哪种环境，都记住一条：只在明确授权的地方练习。技术可以慢慢练，案底洗不掉。