文章总结： ZhaoSecWeb安全漏洞靶场是一个综合性学习平台，涵盖16大类Web安全漏洞共80多个实战场景，包括OWASPTop10及常见漏洞类型如SQL注入、XSS、逻辑漏洞、SSRF、XXE、文件上传、命令注入、反序列化、SSTI和JWT安全等。平台提供从入门到高级的多难度级别，每个模块包含基础知识、原理讲解和防御指南，支持Docker一键部署。适合安全爱好者、渗透测试人员和开发者系统学习Web安全漏洞原理与防御技能。 综合评分： 74 文章分类： 产品介绍,WEB安全,安全工具,安全培训,渗透测试

一个综合性的Web安全学习平台 | 涵盖16大类Web安全漏洞，共80+个实战场景

KingLann KingLann

夜组安全

2026年3月25日 05:00 青海

免责声明

由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！所有工具安全性自测！！！VX：NightCTI

朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！

项目简介

ZhaoSec Web安全漏洞靶场是一个综合性的Web安全学习平台，涵盖OWASP Top 10及其他常见Web安全漏洞。靶场提供真实的漏洞场景、基础知识讲解和实战演练，帮助安全爱好者、渗透测试人员和开发者深入理解Web安全漏洞的原理、利用方法和防御措施。

项目特色

• 🎯 全面覆盖：涵盖16大类Web安全漏洞，共80+个实战场景
• 📚 系统学习：每个漏洞模块包含基础知识、原理讲解和防御方法
• 🚀 实战演练：提供从入门到高级的多种难度级别
• 🐳 容器化部署：支持Docker一键部署，环境隔离
• 📖 详细文档：每个场景都有清晰的说明和提示
• 🔧 真实环境：模拟真实业务场景，贴近实际渗透测试

功能特性

靶场首页

漏洞类型

| 漏洞类型 | 场景数量 | 风险等级 | | — | — | — | | 身份认证漏洞 (Auth) | 7 | 高危 | | SQL 注入 (SQLi) | 8 | 严重 | | 跨站脚本 (XSS) | 6 | 高危 | | 逻辑漏洞 (Logic) | 11 | 中危 | | 跨站请求伪造 (CSRF) | 3 | 中危 | | 服务端请求伪造 (SSRF) | 6 | 高危 | | XML外部实体注入 (XXE) | 5 | 高危 | | 文件包含漏洞 (LFI/RFI) | 5 | 高危 | | 不安全直接对象引用 (IDOR) | 3 | 中危 | | 文件上传漏洞 | 7 | 严重 | | 命令/代码注入漏洞 | 4 | 严重 | | 不安全的反序列化 | 2 | 高危 | | HTTP协议基础漏洞 | 5 | 中危 | | 服务端模板注入 (SSTI) | 2 | 严重 | | JWT安全漏洞 | 5 | 高危 | | Web实战 & 专项漏洞 | 8 | 实战 |

学习模块

• 基础知识：每个漏洞类型都有详细的基础知识讲解
• 漏洞场景：从简单到复杂的多级别漏洞场景
• 实战靶场：专项漏洞练习和综合实战环境
• 防御指南：提供漏洞修复和防御的最佳实践

漏洞列表

1. 身份认证漏洞 (Auth)

• 身份认证基础
• 明文传输简单密码爆破
• Base64编码爆破
• 前端AES加密爆破
• 账户枚举
• 未授权访问
• JWT弱密钥漏洞

2. SQL 注入 (SQLi)

• 数据库初始化
• SQL注入基础
• 联合查询注入
• 万能密码注入
• 报错注入
• 布尔盲注
• 时间盲注
• SQL注入绕过

3. 跨站脚本 (XSS)

• XSS漏洞基础
• 反射型XSS
• 存储型XSS
• DOM型XSS
• XSS绕过
• Cookie窃取伪造登录

4. 逻辑漏洞 (Logic)

• 逻辑漏洞基础
• 数据库初始化
• 价格篡改
• 支付状态绕过
• 水平越权
• 垂直越权
• 业务流程绕过
• 密码重置缺陷
• 条件竞争
• 积分滥刷
• 短信轰炸

5. 跨站请求伪造 (CSRF)

• CSRF基础与原理
• GET型CSRF
• POST型CSRF

6. 服务端请求伪造 (SSRF)

• SSRF漏洞基础
• 基础SSRF
• 内网探测
• 云元数据
• 协议利用
• SSRF绕过

7. XML外部实体注入 (XXE)

• XML基础与XXE原理
• 文件读取
• SSRF利用
• 盲XXE
• XXE RCE

8. 文件包含漏洞 (LFI/RFI)

• 文件包含漏洞基础
• 本地文件包含
• 远程文件包含
• 伪协议利用
• 日志包含

9. 不安全直接对象引用 (IDOR)

• IDOR基础与原理
• 基础IDOR
• 不安全的文件下载

10. 文件上传漏洞

• 文件上传漏洞基础
• 无过滤上传
• 前端验证绕过
• MIME类型绕过
• 扩展名绕过
• 图片马+文件包含
• 解析漏洞

11. 命令/代码注入漏洞

• 命令执行漏洞
• 代码执行漏洞
• 命令执行绕过演示
• 绕过技巧

12. 不安全的反序列化

• 反序列化基础与原理
• PHP实战靶场

13. HTTP协议基础漏洞

• HTTP协议基础与原理
• HTTP请求走私
• HTTP头注入
• Cookie安全问题
• HTTP头伪造挑战

14. 服务端模板注入 (SSTI)

• SSTI基础与原理
• SSTI实战靶场

15. JWT安全漏洞

• JWT基础与原理
• 算法混淆攻击
• 密钥泄露攻击
• 令牌伪造攻击
• JWT实战挑战

16. Web实战 & 专项漏洞

• Web渗透测试实战
• Web CTF实战
• 高级渗透实战
• SQL注入专项练习
• XSS漏洞专项练习
• PHP反序列化专项练习
• SSTI注入专项练习
• CSRF漏洞专项练习

工具获取

点击关注下方名片进入公众号

回复关键字【260325】获取下载链接

往期精彩

[BeforeDawn 漏洞管理平台 | 致敬每一个在黎明前守夜的安全人员

2026-03-23

](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247496531&idx=1&sn=7cfaf72f34988de5d0be92164d912d7e&scene=21#wechatredirect)[云安全渗透测试框架 – 支持国际主流云厂商和国内云平台

2026-03-20

](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247496525&idx=1&sn=ee423b4b6dfc387f91a8a2f8b971d8db&scene=21#wechatredirect)[BurpSuite 多漏洞自动化探测插件  | XSS、SQL 注入（10 种数据库）、SSTI 模板注入（6 大家族 20+ 引擎）、NoSQL 注入

2026-03-19

](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247496514&idx=1&sn=763253f5d9398861270dda2765068fd6&scene=21#wechatredirect)[一款由 AI 驱动的 OSCP 纸上渗透靶场 | 通过大语言模型执行变异衍生，无限生成具有严密逻辑链的全新推演靶机

2026-03-18

](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247496509&idx=1&sn=fa44476d386d83430a16bc38fd5bdc91&scene=21#wechatredirect)[一款专业的Web安全扫描工具 | JS敏感信息收集、API端点提取、API文档解析、页面爬取、子域名发现、漏洞测试、WAF检测与绕过、JS代码分析

2026-03-17

](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247496497&idx=1&sn=88efafb88bc2be68366a5d3a2e8cc36b&scene=21#wechatredirect)

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：夜组安全 KingLann KingLann《一个综合性的Web安全学习平台 | 涵盖16大类Web安全漏洞，共80+个实战场景》