文章总结： 本文介绍OWASP官方开源Web安全教学靶场WebGoat，涵盖Docker、JAR包及源码三种部署方式，阐述其体系化课程、30多个关卡、内置解题方案、WebWolf辅助工具和自动计分卡等亮点，覆盖SQL注入、XSS、SSRF、反序列化等OWASPTop10及进阶漏洞场景。文末指出其偏教学化、需结合实战靶场巩固，并附带免费学习资料推广信息。建议新手在隔离环境中使用以免安全风险。 综合评分： 62 文章分类： 安全工具,WEB安全,安全培训,渗透测试,软文广告

网安新手推荐官方入门靶场WebGoat，从“一键部署”到“体系化实战”的全攻略

沧海讲安全

2026年9月12日 17:21 湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

在学习Web安全，新手入门渗透测试时，往往绕不开几个经典的练习靶场，除了之前介绍的DVWA和Pikachu，今天在介绍一个“重量级”选手——WebGoat。

虽然它在国内新手圈的“出圈”程度可能不如前两者，但作为OWASP官方推出的开源教学靶场，它的地位绝对不容小觑。

一、怎么快速获取和安装

1‌、Docker 部署（推荐新手）‌：只需一行命令即可启动完整环境。

• 运行命令：

docker run -p 127.0.0.1:8080:8080 -p 127.0.0.1:9090:9090 webgoat/webgoat

• 优点：无需配置 Java 环境，包含 WebGoat 主应用和 WebWolf 配套工具。‌‌‌

2、Jar 包直接运行‌：适合已有 Java 环境的用户。

• 先下载最新 jar 包：访问

https://github.com/WebGoat/WebGoat/releases。

• 运行命令：

java -jar webgoat-server-xx.x.x.jar --server.port=8080

• 需要 JDK 11 或以上版本。‌‌‌

‌3、源码编译运行‌：适合开发者深入了解内部实现。

• 克隆仓库：

git clone https://github.com/WebGoat/WebGoat.git

• 编译运行：./mvnw spring-boot:run‌‌

⚠️ 安全提示：

 WebGoat是一个“故意设计得不安全”的应用程序，运行时机器极易受攻击。请务必在本地或隔离环境中运行，切勿将其暴露在公网！未经授权对真实系统进行测试属于违法行为，请始终遵守法律法规。

二、三大突出亮点

WebGoat在Web安全学习圈子里使用频率挺高的，基本是新手入门渗透测试时绕不开的一个靶场。它被频繁使用主要有以下几个核心原因：

1. 官方背景，体系化教学

作为OWASP官方推出的开源教学靶场，它的课程设计非常体系化、渐进式，非常适合新手用来系统地打牢安全基础。

2. 覆盖全面，建立完整认知

它内置了30多个训练课程，涵盖了SQL注入、XSS（跨站脚本攻击）、访问控制、认证绕过等常见漏洞类型。一套练下来，能帮你建立起比较完整的漏洞认知体系。

3. 上手门槛低，部署灵活

WebGoat基于Java开发，运行极其方便。你可以直接跑jar包，也可以在本地、虚拟机或云服务器上部署。此外，它还提供在线靶场，让你免搭建直接开练。

三、WebGoat到底“好玩”在哪？

除了上述提到的优势，WebGoat之所以能成为行业标杆，还有几个非常硬核的亮点：

1、自带“作弊码”的实战靶场

与其他靶场“只管挖不管埋”不同，WebGoat的每一个子关卡都自带解决方案（Solution）。如果你卡关了，可以直接在顶部菜单查看解题思路，甚至配有WebScarab等代理工具的抓包截图。这种“边打边学”的闭环，能极大降低新手的挫败感。

2、配套“辅助工具”WebWolf

这是WebGoat的一大特色。WebWolf相当于一个模拟的邮件系统或外部服务器，专门用来接收你在WebGoat中通过漏洞窃取到的Cookie、Token等敏感信息。这种“双端联动”的设计，能让你更直观地理解攻击链的完整过程。

3、自带计分卡（Report card）

WebGoat内置了自动评分系统。每当你成功利用一个漏洞，系统会自动打分并解锁下一关。这种类似“打怪升级”的机制，能让枯燥的安全学习变得更有成就感。

四、WebGoat到底教什么？

WebGoat的关卡设计是其精髓所在，它将复杂的Web安全问题拆解成一个个具体的、可操作的挑战。

1、OWASP Top 10全覆盖

WebGoat的课程紧密围绕OWASP Top 10展开，这是Web应用安全领域最权威的十大风险列表。

你可以在这里亲手实践：

• 注入攻击 (Injection): 从最基础的SQL注入，到更复杂的LDAP注入、OGNL注入，让你理解“数据与代码混淆”的本质。
• 跨站脚本 (XSS): 学习反射型、存储型和DOM型XSS的区别与利用方式，理解为什么用户输入需要被严格过滤和转义。
• 失效的身份认证 (Broken Authentication): 模拟暴力破解、凭证填充等攻击，学习如何设计安全的登录和会话管理。
• 敏感信息泄露 (Sensitive Data Exposure): 练习如何从错误的配置、不安全的API响应中挖掘敏感信息。
• XML外部实体 (XXE): 理解如何通过恶意构造的XML文件读取服务器本地文件。

2、不止于Top 10的进阶挑战

除了基础漏洞，WebGoat还包含了许多更贴近实战的复杂场景：

• 访问控制漏洞 (Access Control): 学习如何通过修改URL、参数或请求方法来越权访问其他用户的资源或管理员功能。
• 服务端请求伪造 (SSRF): 模拟攻击者诱使服务器向内部或外部系统发起请求，从而探测内网或攻击后端服务。
• 不安全的反序列化 (Insecure Deserialization): 理解如何通过篡改序列化对象，在服务器端执行任意代码。
• 基于逻辑的漏洞: 一些关卡需要你理解业务流程，通过“非正常”的操作顺序或参数组合来达成攻击目的，非常锻炼思维。

💬 客观存在的“争议点”

当然，任何工具都不是完美的。在安全圈里，关于WebGoat也有一个常见的争议点：

有人觉得它太“教学化”了。因为每个关卡都有详细的提示和引导，它跟真实的渗透场景有一定的距离。所以，练完WebGoat后，通常还需要搭配DVWA、Mutillidae这些靶场，或者去真实环境中进行巩固。

因此它更适合作为入门和打基础的工具，想要深入，还得靠实战积累。

关于 WebGoat 这种‘自带提示’的靶场，你是觉得‘真香，新手友好’，还是觉得‘太像做题了，没意思’？评论区站队让我看看！👇

「最后」

如果你真的想学好一门本事，首先就要考虑自己对这门技术的兴趣，没有天赋还能靠时间和努力去弥补，但如果没有兴趣加持，就很难坚持到最后。

你要是正打算尝试网安或者想努力一次，我把这些年用过的视频教程和学习笔记都梳理出来了，现在都无偿分享给大家，需要的找我拿就行（文末自取）。

现在哪个行业都不好走，如果没有学历也没有天赋，那就只有努力和坚持了，请相信相信的力量，共勉！

沧海专属黑客/网络攻防技术资料

@沧海讲安全：在安全圈待了十多年，已经积累了很多的技术教程，在计算机这个行业，如果不会主动学习，手里没点学习资料，注定是走不远的。我整理的这些资料包含了市场上主流的攻防技术，不说让你成为黑客大佬，帮助你从0到进阶网络安全技术问题不大。

平台铭感，拿资料、学技术看⬇（无偿共享）

部分技术资料预览

01

视频教程

从0到进阶主流攻防技术视频教程（包含红蓝对抗、CTF、HW等技术点）

02

书籍Pdf

入门必看攻防技术书籍pdf（书面上的技术书籍确实太多了，这些是我精选出来的）

03

安装包/源码

主要攻防会涉及到的工具安装包和项目源码（防止你看到这连基础的工具都还没有）

04

面试试题/经验

网络安全岗位面试经验总结（谁学技术不是为了赚$呢，找个好的岗位很重要）

平台铭感，拿资料、学技术看⬇（无偿共享）

@沧海讲安全：只要你是真心想学黑客/网络安全技术，我这份资料就可以无偿共享给你学习，但是想学技术去乱搞的人别来找我，目前全球网络环境日益紧张，我国在这方面的相关人才比较紧缺，网络安全行业确实也需要更多的有志之士加入进来，我也真心希望帮助大家学好这门技术，如果日后有啥学习上的问题，欢迎找我交流。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：沧海讲安全 《网安新手推荐官方入门靶场WebGoat，从“一键部署”到“体系化实战”的全攻略》