炸裂！这款Web安全靶场凭什么让百万渗透测试者疯狂着迷？

棉花糖糖糖
棉花糖糖糖

棉花糖网络安全工具箱

2026年6月25日 10:46
四川

在小说阅读器读本章

去阅读

重点导读免责声明

本项目涉及漏洞利用技术，仅供安全研究与教学用途，严禁用于任何非法活动。使用者需自行承担安全责任。

重点导读概述

Pikachu是一款采用PHP开发的Web应用漏洞靶场，集成MySQL数据库，专注于解决渗透测试学习者缺乏合法练习环境的问题。该项目在GitHub获得较高关注度，是Web安全入门与进阶的热门训练平台。

重点导读漏洞类型

PART 01注入类

• SQL注入
• XML外部实体攻击
• PHP反序列化

PART 02脚本攻击类

• 跨站脚本
• 跨站请求伪造

PART 03文件操作类

• 远程命令执行
• 远程代码执行
• 文件包含
• 不安全文件上传
• 不安全文件下载
• 目录遍历

PART 04权限与认证类

• 暴力破解
• 越权漏洞
• 敏感信息泄露

PART 05服务端类

• 服务器端请求伪造
• 不安全URL重定向

PART 06彩蛋

隐藏漏洞

重点导读技术架构

PART 07目录结构

PART 08核心配置

数据库连接配置位于inc/config.inc.php，系统安装入口为install.php，支持Docker容器化部署。

PART 09前端资源

使用Bootstrap框架构建页面UI，集成Font Awesome图标库，图片资源存放于assets/images目录。

重点导读安装部署

PART 10环境要求

PHP + MySQL + Web中间件

PART 11部署步骤

1. 下载源码至Web服务器根目录
2. 修改inc/config.inc.php数据库配置
3. 访问首页完成初始化安装

PART 12Docker方式

bashdocker run -d -p 8765:80 8023/pikachu-expect:latest

重点导读特色功能

PART 13XSS管理后台

pkxss模块提供XSS钓鱼平台，支持Cookie窃取与键盘记录功能，可用于渗透测试实战演练。

PART 14漏洞提示系统

每个漏洞页面右上角设有提示功能，帮助学习者理解漏洞原理与利用方式。

PART 15多种漏洞子类

每类漏洞根据不同场景设计了多个子类，增加练习趣味性与难度梯度。

重点导读项目地址

本公众号非项目作者，仅做技术分享。

bashhttps://github.com/zhuifengshaonianhanlu/pikachu

广告时间

低价考证包括但不限于CISP系列、PMP等等国内网安证书、网络安全交流群请关注公众号后点菜单栏的找棉花糖。

糖心会员站，网络安全必备网站，包括在线内网靶场、web靶场、src靶场、应急响应靶场，以及各种网安资料、教程、方案模版、以及超级多在线工具，99元包年！详细介绍：棉花糖会员站介绍(26年4月26日版本) ：在线内网靶场、网安资料方案、在线工具全能资源站，看完介绍百分百心动！