Web 安全靶场怎么选？从 Pikachu 到 DVWA，一篇文章搞定全能实验环境部署

基础环境要求#

• 操作系统：Linux / macOS / Windows（WSL2）

• 已安装：

  • Docker ≥ 20.x

  • Docker Compose ≥ v2

验证是否安装成功：

1
docker -v
2
docker compose version

完整示例#

1
version: "3.9"
2

3
services:
4
  dvwa:
5
    image: vulnerables/web-dvwa
6
    container_name: dvwa
7
    ports:
8
      - "8081:80"
9
    environment:
10
      - MYSQL_ALLOW_EMPTY_PASSWORD=yes
11
    restart: unless-stopped
12

13
  pikachu:
14
    image: area39/pikachu
15
    container_name: pikachu
16
    ports:
17
      - "8082:80"
18
    restart: unless-stopped
19

20
  uploadlabs:
21
    image: c0ny1/upload-labs
22
    container_name: upload-labs
23
    ports:
24
      - "8083:80"
25
    restart: unless-stopped

DVWA#

访问地址：

1
http://localhost:8081

默认账号：

1
username: admin
2
password: password

首次进入后：

1. 点击 Setup

2. 点击 Create / Reset Database

3. 回到登录页重新登录

不初始化数据库，DVWA 很多漏洞页面是不可用的。

Pikachu#

访问地址：

1
http://localhost:8082

特点：

• 无需初始化

• 页面结构非常清晰

• 每个漏洞都有明确分类（SQLi / XSS / 文件包含等）

非常适合 刚入门 Web 安全 的人。

upload-labs#

访问地址：

1
http://localhost:8083

特点：

• 专注文件上传漏洞

• 从最弱校验 → 黑名单 → MIME → 二次渲染

• 非常适合练 WebShell 上传思路

端口被占用怎么办？#

修改 docker-compose.yml 端口映射即可，例如：

1
- "18081:80"

容器起不来？#

查看日志：

1
docker logs dvwa
2
docker logs pikachu
3
docker logs upload-labs

如何重置环境？#

1
docker compose down -v
2
docker compose up -d

-v 会清空数据库和数据卷，非常适合反复练习。

内网靶场 + 浏览器代理#

• Burp Suite

• mitmproxy

• FoxyProxy

配合 DVWA / Pikachu，效果直接拉满。

配合漏洞学习路线#

推荐顺序：

1. Pikachu（理解漏洞原理）

2. DVWA（系统化训练）

3. upload-labs（专项突破）

安全提醒（重要）#

不要做这些事：

• 不要公网暴露端口

• 不要在生产服务器跑靶场

• 不要弱口令复用真实密码

靶场 ≠ 演示环境 ≠ 生产环境。