這次鐵人賽介紹了一些滲透測試的技術與工具，但關於實際上要去哪裡練習好像沒有直接講到，所以今天就打算來介紹一下我目前玩過的幾個靶機的資源跟靶機平台的網站，也順便整理了一下我自己覺得很不錯的教學文章來推薦給大家。
LAB 來講我們要去練習主要有兩個管道，第一就是我們自己架一個 LAB ( 包含去裝別人包好的靶機 )，然後把環境都部屬好再去打，第二個就是去 LAB 網站，透過 VPN 或直接連過去打。
由於目前我還不會建服務跟環境所以這邊我就只介紹一些別人包好的靶機，這邊分成架在虛擬機 ( VMware or VirtualBox ) 和 Docker 上兩種。
Metasploitable 2 是 Metasploit 計劃設計出來的靶機，是一個很經典的 Linux 靶機，很簡單就可以裝起來。
Metasploitable 3 也是 Metasploit 計劃設計出來的靶機，是一個 Windows 的靶機，相較於 Metasploitable 2 較接近真實的環境，但部屬起來相對也比較麻煩，詳情可以看參考資源的文章。
Vulnhub 是一個有很多社群靶機資源的網站，大部分都是由社群的熱心人士設計的免費靶機，有分成五個難度讓不同程度的人可以去看要選擇打什麼樣的 LAB。
DVWA 是很適合入門的 Web 靶機，可以用來練習前面介紹過的 Burp，裡面會有設定可以調整難度。
WebGoat 是我第一個接觸的 Web 靶機，裡面有 SQLi 跟 XSS 的練習，也是很適合入門的靶機，教學的資源很多。
HackTheBox 是我目前最常用的平台，除了海量靶機的資源也有 CTF 跟這次鐵人賽介紹的 Academy 我認為算是最適合新手學習的平台，HackTheBox LAB 提供免費的靶機基本上就夠打一陣子了。
TryHackMe 是一個有錢的話我覺得很適合用來學習的平台，這個平台是用引導式的方式來教你打一個靶機，在前期學習的時候很有幫助，也會有補充的理論知識可以看，但因為免費的部分內容不多現在就不常用了。
Portswigger 這個網站的靶機其實在前面的 Burp 有用到一兩台來做示範，這個平台上也是有很多滲透技術的教學文件配合靶機來做講解，Portswigger 其實也就是開發 Burp 的團隊。
最近很常看這個作者的文章，作者本身也參加了很多屆的鐵人賽，在個人網頁上更是有各式各樣主題的文章可以看，很推薦剛入門的人看一下學習路徑。
這次 Burp 很大一部份是從 駭客貓咪 的文章學來的，當然除了 Burp 外也有蠻多資安的主題文章，除了單純的技術文章外作者還有很多證照的經驗分享。
今天就簡單做了一些教學文章和靶機資源的整理，推薦大家有時間可以去看看這些文章尤其是包含理論跟實作的部分跟著文章一步一步學，那今天差不多到這邊，明天會來寫一下鐵人賽的心得跟回顧。
iThome鐵人賽
看影片追技術