一、先确认网站根目录
所有靶场源码必须放到这里才能被访问：
- 找到 phpStudy 安装目录，默认路径：
D:\phpStudy\PHPTutorial\WWW WWW就是本地网站根目录，后续所有靶场文件夹都放入此处。
二、搭建 SQL 注入专项靶场：sqli-labs
1. 下载靶场源码
官方开源地址：https://github.com/Audi-1/sqli-labs下载压缩包 Download ZIP 即可。
2. 部署文件
- 解压得到
sqli-labs-master文件夹 - 整体复制，粘贴到
WWW根目录内
3. 数据库账号配置
- 进入目录：
sqli-labs-master/sql-connections/ - 用记事本打开
db-creds.inc - 修改为 phpStudy 默认账号密码：
php
运行
$dbhost='localhost';
$dbuser='root';
$dbpass='root';- 保存文件
4. 初始化并使用
- 浏览器访问：
http://localhost/sqli-labs-master/ - 点击页面初始化按钮，一键创建靶场数据库
- 成功后即可从
Less-1到Less-24练习全部 SQL 注入关卡
三、搭建 XSS 跨站脚本靶场：xss-labs
1. 下载源码
开源地址：https://github.com/do0dl3/xss-labs
2. 一键部署
- 解压后把
xss-labs文件夹放入WWW目录 - 该靶场大部分关卡无需数据库，开箱即用
- 浏览器直接访问：
http://localhost/xss-labs/ - 即可开始练习基础 XSS、过滤绕过、高级场景等关卡
四、PHP 综合安全靶场：Pikachu（新手首选）
包含 SQL、XSS、文件上传、代码执行等几乎所有 Web 漏洞，一站式练手。
- 下载地址：https://github.com/k0nxi/pikachu
- 解压放入
WWW文件夹 - 进入
pikachu/inc/config.inc.php，修改数据库配置：
php
运行
$dbhost = '127.0.0.1';
$dbuser = 'root';
$dbpwd = 'root';- 访问地址：
http://localhost/pikachu/ - 点击页面「一键初始化安装」，即可使用全部靶场模块
五、进阶专业靶场：DVWA
适合进阶 PHP 代码审计、漏洞进阶学习
- 下载地址：https://github.com/digininja/DVWA
- 解压放入
WWW，并重命名文件夹为dvwa - 进入
dvwa/config/，将config.inc.php.dist重命名为config.inc.php - 打开文件修改数据库信息：
php
运行
$_DVWA['db_server'] = 'localhost';
$_DVWA['db_user'] = 'root';
$_DVWA['db_password'] = 'root';- 访问
http://localhost/dvwa/ - 默认账号：
admin，密码：password，创建数据库即可进入
六、常见问题快速排错
表格
| 故障现象 | 解决方法 |
|---|---|
| 访问提示 404 | 确认靶场文件夹直接放在WWW根目录，无多层嵌套 |
| 数据库连接失败 | 确认 MySQL 保持绿灯，账号密码统一为root |
| 页面空白、不报错 | 点击「其他选项菜单」→php.ini设置，开启display_errors = On |
| 无法自动建库 | 打开 MySQL 管理器，手动新建一个空数据库即可 |
七、练习建议
- 保持当前非服务模式运行，调试靶场更灵活稳定
- 练习时临时关闭杀毒 / 防火墙，避免靶场文件被误隔离
- 推荐新手练习顺序：
sqli-labs(SQL注入)→xss-labs(XSS跨站)→Pikachu综合巩固