网络安全实战练习资源整合与介绍

下面是一些实战型精心筛选的免费练习资源列表，期望能为大家提供切实的帮助。

这份列表虽并非尽善尽美，但它广泛涵盖了从应急响应流程到威胁建模方法等多个基础领域，同时囊括了Web安全、云安全、内网渗透等常见的实战场景，还涉及漏洞利用、权限提升等关键技术要点。这些资源旨在助力大家在日常学习之余，拥有接触实战环境的机会，从而通过实践深化对网络安全知识的理解，即便存在不足，也希望能发挥抛砖引玉的作用。

一、威胁和漏洞管理（Threat and Vulnerability Management）

• 链接：https://tryhackme.com/module/threat-and-vulnerability-management
• 练习目标：深入学习威胁和漏洞管理的流程，透彻理解漏洞扫描、威胁情报以及风险评估的概念，并熟练掌握常见的漏洞修复方法，能够制定有效的漏洞修复策略和安全评估方案。
• 背景知识：需提前了解漏洞管理和威胁情报的基本概念，为后续学习奠定基础。
• 学习建议：积极练习使用各类漏洞扫描工具，对安全系统展开全面评估，细致分析不同漏洞的严重程度，并针对性地给出合理的修复建议 。

二、Derailed

• 链接：https://app.hackthebox.com/machines/Derailed
• 练习目标：勇敢挑战Hack The Box虚拟机，借此巩固多种渗透测试技术，包括精准的漏洞分析与高效的利用技巧。
• 背景知识：应熟悉Linux系统，熟练掌握渗透测试的标准步骤，并且对网络攻防的基本原理有清晰的认知。
• 学习建议：从漏洞挖掘作为切入点，充分利用已知漏洞获取初始权限，然后有条不紊地逐步提升权限，实现最终目标。

三、API渗透测试（API PenTest）

• 链接：https://www.apisecuniversity.com/courses/api-penetration-testing
• 练习目标：系统学习API渗透测试的专业技巧，熟悉API常见的漏洞和安全问题，例如API身份验证、授权漏洞、SQL注入以及API特有的安全漏洞等。
• 背景知识：务必理解Web API的概念和运行原理，同时了解RESTful API和GraphQL的相关知识。
• 学习建议：熟练掌握不同的API测试工具，积极练习运用各种方法绕过身份认证，或者巧妙利用漏洞进行模拟攻击，提升实战能力。

四、应急响应路径（Incident Responder Path）

• 链接：https://app.letsdefend.io/path/incident-responder-path
• 练习目标：全面理解应急响应流程，着力提升在安全事件发生时进行快速分析、妥善处理和及时恢复的能力，学会从初始事件追踪到完成根源分析的全过程。
• 背景知识：需熟悉常见的网络攻击类型、安全事件的完整生命周期、日志分析的基础知识以及基本的威胁情报知识。
• 学习建议：重点聚焦于事件的识别、隔离、根源分析、修复以及事后总结等环节，熟练掌握威胁情报的运用方法，积极模拟分析常见的安全事件日志，积累实战经验。

五、网络杀伤链（Cyber Kill Chain）

• 链接：https://app.letsdefend.io/training/lessons/cyber-kill-chain
• 练习目标：精准掌握网络攻击的七个关键阶段，即侦察、武器化、投放、漏洞利用、安装、命令控制和目标达成，深入理解攻击者的行为模式，学会运用网络杀伤链来分析和防御攻击。
• 背景知识：了解常见的攻击行为，理解威胁建模的基本概念和方法。
• 学习建议：尝试从攻击者的视角分析网络攻击的各个环节，紧密结合ATT&CK框架进行深入剖析，针对不同阶段制定有效的预防和阻断措施，将网络杀伤链有机融入到安全分析流程中。

六、MITRE ATT&CK框架（Mitre Att&ck Framework）

• 链接：[https://app.letsdefend.io/training/lessons/mitre-attck-framework](https://app.letsdefend.io/training/lessons/mitre-attck-framework)
• 练习目标：深入学习MITRE ATT&CK框架，理解其如何精准描述攻击者的战术、技术和程序（TTPs），学会运用ATT&CK框架进行威胁建模和风险评估，并将其灵活应用到实际的攻防对抗中。
• 背景知识：熟悉网络攻击的基本概念，对网络安全的基础知识有一定的储备。
• 学习建议：全面掌握框架的结构，包括战术（Tactics）、技术（Techniques）、子技术（Sub - techniques）和缓解方法（Mitigation）。积极将ATT&CK框架应用到威胁分析和防御工作中，不断积累实践经验。

七、Linux提权神器GTFOBins

• 链接：https://app.letsdefend.io/training/lessons/gtfobins
• 练习目标：深入了解GTFOBins（Get The File Over Bins）的使用方法，学习如何巧妙利用系统自带的二进制文件执行提升权限或者绕过安全策略等操作。
• 背景知识：熟悉Linux系统的基本操作和命令执行原理，具备一定的Linux基础。
• 学习建议：深入学习不同命令的执行原理，充分利用GTFOBins进行提权攻击实践，熟悉Linux环境下的权限管理机制，提升对Linux系统安全的把控能力。

八、被黑Web服务器分析

• 链接：https://app.letsdefend.io/training/lessons/hacked-web-server-analysis
• 练习目标：熟练掌握Web服务器入侵的常见方法，学习如何深入分析Web服务器日志，精准识别入侵痕迹，从而准确定位和修复漏洞，深刻理解日志分析在事件响应中的重要性。
• 背景知识：熟悉常见的Web服务器，如Apache、Nginx等，了解Web常见漏洞，如SQL注入、XSS等，并掌握日志分析的基本方法。
• 学习建议：仔细分析Web日志中的请求头、状态码、URL信息等，密切关注是否存在可疑请求或非预期的行为，同时结合威胁情报，深入分析已知的攻击模式，提升漏洞分析和修复能力。

九、Matrix - Breakout 2: Morpheus

• 链接：https://www.vulnhub.com/entry/matrix-breakout-2-morpheus,757/（VulnHub，虚拟机下载）
• 练习目标：通过渗透测试模拟攻陷一个存在漏洞的虚拟机，全面提升在实际环境中进行渗透测试和提权的能力。
• 背景知识：熟悉Linux系统、渗透测试流程以及常见漏洞的原理和利用方法。
• 学习建议：严格按照渗透测试的标准流程进行操作，即信息收集、漏洞扫描、漏洞利用、权限提升等环节，深入探索提权路径，透彻分析漏洞原理，不断积累实战经验。

十、DigitalWorld.Local: Electrical

• 链接：https://www.vulnhub.com/entry/digitalworldlocalelectrical,747/（VulnHub，虚拟机下载）
• 练习目标：通过渗透测试成功攻陷一个虚拟机，巩固信息收集、漏洞利用等技术，逼真模拟现实世界的攻击场景。
• 背景知识：熟悉网络扫描、漏洞分析以及web漏洞的相关知识，掌握Linux系统的基本操作和提权方式。
• 学习建议：从网络扫描入手，逐步识别开放端口和已知服务，深入分析操作系统版本和服务版本，精准发现漏洞利用点，提升渗透测试技能。

十一、Gemini Inc 2

• 链接：https://www.vulnhub.com/entry/gemini-inc-2,234/（VulnHub，虚拟机下载）
• 练习目标：通过攻陷虚拟机，强化实战演练，全面提升漏洞分析和渗透测试技能，并积累丰富的攻防经验。
• 背景知识：熟悉常见漏洞的原理，并且具有一定的实际操作经验，对网络安全有初步的实践认知。
• 学习建议：灵活运用各种渗透测试工具，针对不同服务进行细致的漏洞利用测试，详细记录每次尝试的步骤，深入了解攻击利用的全过程，不断提升自己的实战能力。

十二、Pilgrimage

• 链接：https://app.hackthebox.com/machines/Pilgrimage
• 练习目标：成功攻陷Hack The Box上的虚拟机，综合运用信息收集、漏洞利用、提权等技能，逼真模拟真实网络环境中的攻击场景。
• 背景知识：熟练掌握Linux系统和渗透测试的基础知识，具备一定的网络安全实践能力。
• 学习建议：针对不同的服务，选用合适的扫描工具和漏洞利用方式。深入分析漏洞，并透彻理解其原理，最终成功获取root权限，提升自己在复杂网络环境下的攻击能力。

十三、Topology

• 链接：https://app.hackthebox.com/machines/Topology
• 练习目标：攻陷Hack The Box上的虚拟机，着重练习信息收集、漏洞利用等技巧，深入理解不同漏洞的利用场景，积累丰富的攻击实战经验。
• 背景知识：熟悉网络基础理论和渗透测试流程，对网络安全的基本概念和操作有一定的了解。
• 学习建议：积极练习利用不同的漏洞，大胆尝试多种不同的攻击方法，深入理解每一个攻击环节，逐步获取更高的权限，提升自己的渗透测试水平。

十四、PC

• 链接：https://app.hackthebox.com/machines/PC
• 练习目标：挑战Hack The Box虚拟机，全面应用渗透测试技术，从信息收集到漏洞利用，全方位提高实战技能。
• 背景知识：了解Windows系统的基本操作和渗透测试流程，对Windows系统的安全机制有一定的认识。
• 学习建议：在信息收集阶段，重点关注操作系统版本、开放服务和端口等信息。选用合适的工具进行渗透测试，不断尝试和总结经验，提升自己的渗透能力。

十五、Busqueda

• 链接：https://app.hackthebox.com/machines/Busqueda
• 练习目标：挑战Hack The Box虚拟机，着重练习漏洞挖掘和提权技巧，并熟练掌握多种渗透方法。
• 背景知识：熟悉Web应用安全的相关知识，掌握漏洞利用的常用方法，对Web安全有一定的研究。
• 学习建议：密切关注web服务的应用情况，仔细分析返回结果，从中寻找漏洞入口，不断探索和尝试新的攻击方法，提升漏洞挖掘和提权能力。

十六、SSRF（Routing - Based SSRF）

• 链接：https://portswigger.net/web-security/host-header/exploiting/lab-host-header-routing-based-ssrf
• 练习目标：学习如何巧妙利用主机头注入（Host Header Injection）来执行服务器端请求伪造（SSRF）攻击，深入理解Host header在路由中的关键作用。
• 背景知识：熟悉HTTP协议的基本原理，了解SSRF漏洞的概念和危害。
• 学习建议：深入理解Host Header和路由的内在关系，分析如何巧妙使用不同的host header，仔细观察返回结果，从中准确找到SSRF漏洞，提升对这类漏洞的利用和防范能力。

十七、Blind SSRF with Shellshock Exploitation

• 链接：https://portswigger.net/web-security/ssrf/blind/lab-shellshock-exploitation
• 练习目标：学习利用Shellshock漏洞来执行盲SSRF攻击，了解如何在没有直接反馈的情况下巧妙利用漏洞。
• 背景知识：熟悉HTTP协议和SSRF漏洞的相关知识，了解Shellshock漏洞的原理和特点。
• 学习建议：深入分析shellshock漏洞的原理，并利用它执行任意命令，通过利用blind ssrf漏洞，测试后端服务是否能够被有效控制，提升对盲SSRF攻击的实践能力。

十八、SQL injection vulnerability allowing login bypass

• 链接：https://portswigger.net/web-security/sql-injection/lab-login-bypass
• 练习目标：学习利用SQL注入漏洞绕过用户身份验证机制，深入理解SQL注入攻击的原理和实现方式。
• 背景知识：熟悉SQL语法和Web应用程序的安全机制，对数据库操作有一定的了解。
• 学习建议：积极练习构造不同的SQL查询，学习各种绕过技巧，深入探究SQL注入的原理，提升对SQL注入攻击的理解和防范能力。

十九、Blind SQL injection with conditional responses

• 链接：https://portswigger.net/web-security/sql-injection/blind/lab-conditional-responses
• 练习目标：学习如何通过分析服务器返回的条件响应，巧妙利用Blind SQL注入漏洞，熟悉Blind SQL注入攻击的方法和技巧。
• 背景知识：熟悉SQL语法和Boolean logic的基本概念，对数据库查询和逻辑判断有一定的认识。
• 学习建议：仔细分析服务端返回的错误码或返回内容，根据不同的返回结果准确判断SQL查询条件是否成功，掌握Blind SQL注入攻击的关键技巧，提升对这类漏洞的利用能力。

二十、OWASP WrongSecrets

• 链接：https://github.com/OWASP/wrongsecrets
• 练习目标：全面了解敏感信息泄露的风险，学习如何在代码和配置中有效避免存储敏感信息，熟悉常见的敏感信息泄露模式。
• 背景知识：理解常见的Web漏洞和安全配置原则，对Web应用的安全架构有一定的了解。
• 学习建议：重点关注代码中的配置错误，深入研究加密和hash策略。积极练习使用代码审查工具，提升对敏感信息泄露风险的识别和防范能力。

二十一、Security CTF AWS 101

• 链接：https://r00tz-ctf.awssecworkshops.com/（需要注册AWS账户，且需要额外配置）
• 练习目标：熟悉AWS云平台的基础知识，深入理解云安全相关的概念，并学习AWS安全配置的最佳实践，通过练习利用云平台中的各种安全组件来加固防御体系。
• 背景知识：熟悉云安全的基本概念和AWS服务的相关知识，对云计算的架构和安全机制有一定的了解。
• 学习建议：创建AWS虚拟机，并严格按照教程进行配置。认真学习使用AWS安全组件，不断实践和探索，提升在AWS云环境中的安全配置和管理能力。

二十二、攻击和防御AWS（Attacking and Defending AWS）

• 链接：https://resources.tryhackme.com/attacking-and-defending-aws（需要注册账户）
• 练习目标：全面掌握攻击和防御AWS云环境的技巧，熟悉AWS的安全配置，通过渗透测试模拟常见的攻击手段，了解不同的攻击路径，熟悉AWS安全的最佳实践。
• 背景知识：熟悉AWS云平台的架构和功能，了解云计算中的安全概念和常见威胁。
• 学习建议：熟悉AWS的相关安全工具，例如CloudTrail、IAM、KMS等，并积极练习使用渗透测试工具对AWS进行渗透测试，深入了解AWS云环境的安全机制和攻防要点。

二十三、云渗透测试学习（PenTesting Cloud Learning）

• 链接：https://pentesting.cloud/
• 练习目标：学习如何在云环境中进行专业的渗透测试，提升在云上进行渗透和安全评估的能力，深入理解不同的云安全威胁、风险和加固技术，并将其灵活应用于真实场景。
• 背景知识：了解云计算架构和常用安全组件的相关知识，熟悉渗透测试的基本方法和流程。
• 学习建议：注册账户之后，系统学习基础的知识，熟悉不同的云平台特点和安全机制，并开始进行实践练习，可以尝试使用不同的工具进行渗透测试，不断积累云渗透测试的经验。

二十四、Cerberus

• 链接：https://app.hackthebox.com/machines/Cerberus

练习目标：通过攻陷Hack The Box虚拟机，全面巩固各种渗透测试技能，包括漏洞挖掘、信息收集以及权限提升等关键能力。

背景知识：

需要熟悉Linux和Windows系统的安全特性，同时对常见的网络攻击技术有较为深入的了解 。 学习建议：从信息收集工作入手，精准了解操作系统和服务的版本信息，充分利用现有的各类工具，展开全面的漏洞测试，并深入剖析漏洞利用的原理，不断提升自己的渗透测试水平。

二十五、Coder

• 链接：https://app.hackthebox.com/machines/Coder 练习目标：挑战Hack The Box虚拟机，致力于提高信息搜集与漏洞利用能力，深入理解复杂的漏洞利用和渗透测试方法。 背景知识：需要具备一定的编程能力，同时了解常见的Web漏洞和攻击技巧，对Web应用的安全机制有一定的认知。 学习建议：仔细研读题目描述，尝试进行代码审计和漏洞分析工作，选用合适的工具完成漏洞利用操作，在实践中不断积累经验，提升自己的技术能力。

二十六、免费Web安全技术课程（Free Web Hacking Course）

• 链接：https://davidbombal.com/free-web-hacking-course/ 练习目标：系统地学习Web安全知识，深入理解Web应用常见的漏洞和攻击方法，并且学会运用相应的工具进行漏洞检测和防御，全面提升对Web漏洞的认知水平。 背景知识：了解Web应用的基础知识，熟悉HTTP、HTML、JavaScript的基本概念，对Web开发的技术栈有初步的了解。 学习建议：认真学习每个章节的内容，并在本地环境中积极练习课程中讲解的技巧，结合自己的理解进行深入探究，不断强化对Web安全知识的掌握程度。

二十七、JWT相关学习资源整合

JWT Hacking挑战（JWT Hacking Challenges）

• 链接：https://github.com/onsecru/jwt-hacking-challenges；https://systemweakness.com/hacking-jwt-3324cba98210
• 练习目标：深入理解JSON Web Token（JWT）的结构，学习如何利用JWT漏洞，如密钥破解、签名伪造、算法混淆等进行攻击，并熟练掌握常见的JWT安全问题。

JWT安全（JWT Security）

• 链接：https://portswigger.net/web-security/jwt
• 练习目标：学习JWT的安全漏洞和攻击方式，了解如何有效保护JWT，并掌握JWT相关的安全最佳实践，深入理解JWT安全的常见问题和解决方法。
• 背景知识：熟悉常见的web认证方式，理解JSON Web Token的原理和工作机制，对Web应用的身份验证流程有清晰的认识。
• 学习建议：认真分析JWT的结构，包括header、payload和signature等部分，深入了解如何破解密钥、篡改内容以及绕过验证机制，通过实践不断提升对JWT安全漏洞的利用和防范能力；重点关注JWT的组成部分和校验机制，积极实践各种破解JWT的技巧，在实践中不断总结经验，提升对JWT安全的保障能力。

二十八、Active Directory渗透测试（Active Directory PenTesting）

• 链接：https://dev.to/adamkatora/building-an-active-directory-pentesting-home-lab-in-virtualbox-53dc
• 练习目标：学习Active Directory渗透测试的方法，深入理解Active Directory的基础知识，搭建渗透测试实验环境，并了解如何利用AD的漏洞进行攻击。
• 背景知识：熟悉Windows Server和Active Directory的基本概念，对Windows域环境的架构和管理有一定的了解。 学习建议：深入理解Active Directory的架构，学习如何对域用户和域内机器进行渗透测试，通过实践不断积累经验，提升在Active Directory环境中的渗透测试能力。

二十九、GOAD（Game of Active Directory）

• 链接：https://github.com/Orange-Cyberdefense/GOAD
• 练习目标：在真实的AD模拟环境中，深入学习Active Directory渗透测试，运用各种攻击方法，获取更高的权限。
• 背景知识：熟悉Windows系统和Active Directory的安全机制，对网络攻防技术有一定的基础。
• 学习建议：结合Red Team的攻击方法，进行多种路径的尝试，深入分析攻击过程和结果，加深对Active Directory安全的理解，不断提升自己在AD环境中的渗透测试技能。
• 总结这些练习内容全面涵盖了安全从业人员需要掌握的核心技能，包括信息搜集、漏洞利用、应急响应等多个重要领域。练习难度由易到难，逐步深入，每个练习都需要大家认真对待，充分理解其原理和实践方法，才能真正实现能力的提升。在学习过程中，请注意及时更新所使用的工具，始终保持对新技术的学习热情。希望这份精心整理的练习资源能够切实帮助到大家，助力大家在网络安全领域不断探索前行。

三十、WebGoat

• 链接：https://github.com/WebGoat/WebGoat
• 练习目标：通过在 WebGoat 提供的交互式环境中学习，全面掌握 Web 应用程序的各种安全漏洞。包括但不限于 SQL 注入、跨站脚本攻击（XSS）、身份验证和授权漏洞等，同时学会如何进行安全漏洞的检测与修复。
• 背景知识：需要了解 Web 应用程序的基本架构，熟悉 HTML、CSS、JavaScript 等前端技术，以及掌握一定的后端开发语言（如 Java、Python 等）基础知识。此外，对 HTTP 协议和数据库的基本操作也应有所了解。
• 学习建议：深入学习 WebGoat 课程中的每一个模块，通过实际操作和练习，理解每个漏洞的原理和产生原因。尝试自己编写代码来模拟漏洞场景，加深对漏洞的理解。同时，关注 Web 安全领域的最新动态和研究成果，不断更新自己的知识体系。

这些练习内容涵盖了安全从业人员需要掌握的核心技能，包括了信息搜集、漏洞利用、应急响应等多个领域， 练习由易到难，逐渐深入。每个练习都需要认真对待，并且充分理解原理和实践方法，才能最终获得提升。请注意及时更新你的工具，并保持对新技术的学习的热情。希望这份练习资源能够帮到你。