本文整理了 19 个合法的黑客技术在线练习平台，涵盖 Web 安全、移动安全、CTF 竞赛及基础网络攻防等多个维度。内容包括 bWAPP、DVWA、OWASP Mutillidae 等 Web 漏洞实验室，DVIA 等移动安全应用，以及 OverTheWire、Root Me 等综合攻防平台。文章详细描述了各平台的技术特点、适用人群及学习路径，并补充了本地实验室搭建建议和网络安全法律道德规范，旨在帮助安全爱好者通过合法途径提升实战技能。
攻击是最好的防御，这一理念同样适用于信息安全领域。为了培养优秀的网络安全研究人员、渗透测试人员或代码审计师，持续的实战演练至关重要。本文整理了 19 个合法的黑客技术练习网站，涵盖 Web 安全、移动安全、CTF 竞赛及基础网络攻防等多个维度。无论你是初学者还是资深工程师，都可以通过这些平台提升技能。
Web 安全是渗透测试中最常见的领域，以下平台提供了丰富的漏洞环境供学习。
bWAPP 是一个免费开源的 Web 应用程序安全项目。它旨在帮助安全爱好者和研究人员发现并预防 Web 漏洞。该工具内置了超过 100 种不同的漏洞类型，包括 SQL 注入、跨站脚本（XSS）、文件上传漏洞等。其界面友好，适合初学者快速上手，也支持通过 Docker 部署。
基于 PHP 和 MySQL 构建的虚拟 Web 应用，DVWA 内置了常见的 Web 漏洞，如 SQL 注入、XSS、暴力破解、命令执行等。用户可以在本地搭建环境，根据难度等级调整配置。它是全球最流行的 Web 安全练习平台之一，社区资源丰富。
Mutillidae 是一个免费开源的 Web 应用程序，提供特殊允许的安全测试和入侵 Web 应用程序的功能。它包括丰富的渗透测试项目，如 SQL 注入、跨站脚本、点击劫持（Clickjacking）、本地文件包含、远程代码执行等。作为 OWASP 项目，其内容更新及时，符合最新安全标准。
WebGoat 是最受欢迎的 OWASP 项目之一，由 OWASP 基金会维护。该项目为用户设计复杂的应用程序提供了一个真实的安全教学环境。它通过交互式课程引导用户理解漏洞原理，并提供修复建议。支持 Java 语言开发，适合后端开发人员学习。
这是一个由 Google 推出的练习平台，虽然界面简洁，但目的是帮助那些刚开始学习应用程序安全性的人。它涵盖了多种 Web 漏洞场景，并提供了详细的解题思路和安全最佳实践指南。
Vicnum 是 OWASP 其中一个项目的框架，针对不同的需求，并引导安全开发者以游戏的方式学习安全技术。它侧重于让开发者在编码过程中理解安全漏洞的产生机制。
随着移动设备的普及，移动端安全测试成为重要技能点。
DVIA 是一个专门针对 iOS 安全的练习应用。其主要目标是向移动安全爱好者学习 iOS 渗透测试技能提供一个合法的平台。APP 涵盖所有常见的 iOS 安全漏洞，如越狱检测绕过、数据持久化问题、不安全的通信等。代码免费开源，覆盖漏洞测试和解决方案，支持 iOS 10 及以上版本。
这类平台通常结合游戏化元素，提供从基础到高级的挑战任务。
OverTheWire 是一个经典的黑客网站，基于游戏模式让你学习安全技术和概念。其著名的 Wargames 系列（如 Bandit）非常适合零基础入门，通过 SSH 连接服务器完成一系列命令行挑战，逐步掌握 Linux 系统操作、密码学基础和 Shell 脚本编写。
Root Me 是一个专注于黑客技能和网络安全知识提高的网站。它通过提供 200 多个挑战和 50 多个虚拟环境来训练用户。涵盖 Web、二进制、密码学、逆向工程等多个方向，支持多语言提交答案。
Try2Hack 是最古老的黑客网站之一，提供多种安全挑战。它模拟真实的攻击场景，要求用户利用各种工具和技术进行渗透。适合有一定基础的用户进行进阶训练。
Game of Hacks 以游戏的方式测试你的安全技术。每个任务主题都提供了大量的代码，其中可能包含安全漏洞！你需要阅读代码找出漏洞并进行利用。这有助于培养代码审计能力。
Hellbound Hackers 为教你如何识别攻击和代码提供各种安全实践方法和挑战。主题包括应用程序加密和破解、社会工程学、Rooting 等。社区注册会员近 10 万，也是最大的黑客社区之一，拥有活跃的论坛讨论区。
Hack This Site 是一个合法、安全地测试黑客技能的网站，包括黑客信息、文章、论坛和教程。它旨在帮助你学习黑客技术，从基础的 HTML 修改到复杂的网络协议分析。
HackThis!! 旨在教你如何破解、转储、涂改，以及保护网站的黑客技能。它提供 50 多种不同难度的挑战，涵盖 Web 编程、网络扫描、密码破解等领域。
McAfee 提供的 HacMe Sites 集合了各种黑客和安全测试工具。这些资源通常用于评估企业自身的安全性，了解攻击者视角下的潜在风险。
国内也有优质的网络安全学习资源，更贴合中文环境和国内法规。
i 春秋是国内较好的安全知识在线学习平台。它在网页上复制复杂的操作系统、工具和网络环境，为学习者提供完全接近实际环境的实验平台。适合希望在国内体系下系统学习网安的人员。
XCTF-OJ（X Capture The Flag Online Judge）是由 XCTF 组委会组织发展，面向参赛者提供的网络安全技术竞赛练习平台。该平台汇集国内外 CTF 网络安全竞赛真题题库，并支持部分在线题目交互环境的再现恢复。赛后联赛后续赛事也会将赛题的离线文件和在线互动环境汇总到赛后平台，形成目前全球 CTF 社区中唯一一个提供重复练习环境的网站资源。
此类平台通常提供基础知识考试、漏洞实战演练、教程等资料。实战演练以 Web 题为主，包括基础关、脚本关、注入关、上传关、解密关、综合关等关卡，循序渐进。
除了在线平台，搭建本地实验室是深入学习的必经之路。
在进行任何安全测试之前，必须严格遵守法律法规。
网络安全是一个需要终身学习的领域。上述 19 个平台覆盖了从基础理论到高级攻防的各个层面。建议初学者从 DVWA、OverTheWire 入手，逐步过渡到 CTF 平台和综合靶场。保持好奇心，坚持动手实践，同时时刻铭记安全伦理，才能成为一名合格的安全研究人员。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
使用加密算法（如AES、TripleDES、Rabbit或RC4）加密和解密文本明文。 在线工具，加密/解密文本在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online
将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。 在线工具，HTML转Markdown在线工具，online
通过删除不必要的空白来缩小和压缩JSON。 在线工具，JSON 压缩在线工具，online
