前言

正文

语言环境

PHP

先安装一个phpstudy

小皮面板(phpstudy) - 让天下没有难配的服务器环境！(xp.cn)

https://www.xp.cn/

下载之后一直下一步就行 因为后面会经常用到mysql

找到mysql的bin路径

复制到环境变量

具体添加方法下面写了

debug调试 Xdebug+宝塔+PHPStudy+VScode PHP | 国光 (sqlsec.com)

https://www.sqlsec.com/2020/09/xdebug.html#:~:text=%E5%AE%9D%E5%A1%94%E5%B0%81%E8%A3%85%E4%BA%86%20Xdeb

这个写的很好的，不多赘述

JAVA

然后是java环境搭建 

Java Downloads | Oracle 中国 

这里我们并不需要下载最新的，jdk17就行，其他版本也可以

然后如图示下载 

我的靶场都是基于windows搭建的，

所以就选windows 

下载好之后同样一直下一步就行

然后右键 

此电脑，点击属性

再在打开的界面右边找到“高级系统设置”

点击环境变量

在系统变量中新建

填入（下面那行填入你的jdk所在的路径）

JAVA_HOMEC:Program FilesJAVAjdk-17

再新建一个

CLASSPATH.;%JAVA_HOME%libdt.jar;%JAVA_HOME%libtools.jar;

再双击PATH

新建

新建这两行 

%JAVA_HOME%bin%JAVA_HOME%jrebin

然后就是一路确定就行

这样就算是安装成功

多版本配置

我们的java一般来说一个版本是不够的，

接下来是多版本环境安装教程

在学习java的时候，我们可能需要经常切换java的版本，下面是一个.bat文件，根据自己的情况进行配置，就可以做到快捷切换java版本

@echo offset JAVA_HOME=C:Program FilesJavajdk-1.8set Path=%JAVA_HOME%bin;%Path%echo Java 1.8 activated.

如果系统学习JAVA代码审计，可能还会用到MAVEN，Tomcat等工具，我这里不详细写，可以看我的博客:

https://susec.xyz/2024/06/14/JAVA%E5%9F%BA%E7%A1%80%E8%AF%AD%E6%B3%95/

Python

这里推荐使用anaconda进行环境配置，因为跟java一样，我们有些时候需要不同python版本 Download Anaconda Distribution | Anaconda

https://www.anaconda.com/download/

打开来到这个界面，

同样的注册账号下载即可 

然后点击程序无脑下一步，

作为初学者我们可能对命令行窗口没这么熟悉，

这里我们先学会通过可视化窗口来搭建两个python环境

来到主页点击environment

这里先选择py2.7.18，这是python2最后一个版本，很多老的脚本只能通过py2运行，所以弄一个Py2是必须的，然后点击create即可

点击后会开始转圈圈，我们耐心等待

这样就算配置好了，然后同样的步骤配置个python3.8

(选择python3.8的原因是这个版本比较经典，适用大部分脚本，小部分报错的话根据报错信息同样创建新的就好，这个并不困难，就不多做解释)

结束之后如果我们之前没有python环境，我们直接用命令行调用python应该是没东西的，这里可以先通过conda env list来查看我们是不是真的安装好了

然后使用conda activate (环境名)

来进入我们创建好的python环境即可

然后再给上一些常用命令

conda create -n 环境名 python=版本号

通过这个指令我们不再需要进入到anaconda应用程序中，可以在命令行快速创建环境

pip install -r requirements.txt

这个要在脚本路径下运行，且存在requirements.txt文件

这个命令的含义是

一键安装这个脚本运行所需的依赖

有些时候可能会很慢或者报错，

我们可以在后面加上

-i https://pypi.tuna.tsinghua.edu.cn/simple

这个的意思是从清华源进行下载，

同样在国内的话速度会快很多 

这里最后推荐，最好在本机环境上再配一个python环境，因为不管怎么说你每次都调用anacoda始终还是有点麻烦的 

Download Python | Python.org

https://www.python.org/downloads/

看到中间是for windows直接download，

然后打开程序一直点击Next即可，

那些选项看不懂就都勾选上，影响不大 

至此，最基础的语言环境安装结束

靶场环境

然后就是会用到的靶场

复合

pikachu

zhuifengshaonianhanlu/pikachu: 一个好玩的Web安全-漏洞测试平台 (github.com)

https://github.com/zhuifengshaonianhanlu/pikachu

下载解压到phpstudy的WWW目录下，再到inc目录下修改配置

可以看到我们的默认数据库账号密码都是root 

但是他给出了一个pikachu数据库，

我们也新建一个

（新建前要改密码，自己改喜欢的就行）

配置如上即可

新建一个网站 

然后在浏览器访问127.0.0.1/pikachu

再访问127.0.0.1/pikachu/install.php会有个立即安装，点击安装即可

WebGoat

Releases · WebGoat/WebGoat (github.com)

https://github.com/WebGoat/WebGoat/releases

点击上面框框清空输入cmd 

java -Dfile.encoding=UTF-8 -jar webgoat.jar

我们也可以写一个bat文件，

避免每次都进cmd写代码

@echo offjava -Dfile.encoding=UTF-8 -jar webgoat.jarpause

跟webgoat.jar放在同一目录即可

注册个账号（register） 就可以开打了

DVWA

Releases · WebGoat/WebGoat (github.com)

https://github.com/WebGoat/WebGoat/releases

直接点下面那个download或者点上面的简体中文看看介绍，

也有下载功能 跟前面差不多

专项

upload-labs

Release upload-labs 0.1 · c0ny1/upload-labs (github.com)

https://github.com/c0ny1/upload-labs/releases/tag/0.1

sqli-labs

https://github.com/Audi-1/sqli-labs

修改db-creds.inc

跟pikachu一样改改就能用

如果报错，说什么连接那里有问题什么什么第29行的，

就改一下php版本，

在phpstudy里下载一个老版本，

php5.x应该都行

XXE-lab

https://github.com/c0ny1/xxe-lab

一样

XSS

https://github.com/haozi/xss-demo
https://xss-game.appspot.com/（国外）
https://brutelogic.com.br/knoxss.html
http://test.ctf8.com/

Docker一键安装

如果你有一定的计算机基础，懂得docker的使用，那跳过上述的内容都行

c0ny1/vulstudy: 使用docker快速搭建各大漏洞靶场，目前可以一键搭建17个靶场。(github.com)https://github.com/c0ny1/vulstudy

上面是常见靶场的集合

CTF-Archives/ctf-docker-template: Deployment template for docker target machine in ctf for CTFd and other platforms that support dynamic flags (github.com)

https://github.com/c0ny1/vulstudy

这个是ctf动态靶机模板，

我们可以直接使用里面的环境进行调试

抓包环境配置

浏览器

下面正式开始

首先是一个插件下载网站，如果不懂得科学上网，我们的插件可以从这里下载https://www.crxsoso.com/

下面这个是google扩展程序官网（需要魔法！）

https://chromewebstore.google.com/category/extensions?utm_source=ext_sidebar&hl=zh-CN

然后说说我们入门需要用到的插件: 

HackBar，proxy switchyomega（如果你的浏览器是firefox请下载foxyproxy),wappalyzer

Hackbar便于我们快速改变请求的内容，proxy switchomega用于快速切换代理，wappalyzer拿来查组件，快速定位网站框架，虽然有些时候不怎么准

Burp Suite

在软件安装之前记得要先配置jdk环境

Java Downloads | Oracle 中国https://www.oracle.com/cn/java/technologies/downloads/

前面讲过这里就不重复了

软件安装

BurpSuite v2024.5.1汉化无cmd框版（2024.06.09更新） - 『逆向资源区』 - 吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

https://www.52pojie.cn/thread-1544866-1-1.html

打开网址下载最新版本即可

解压到文件夹可以看到这些，如果之前安装过burp的可以先点击一下清楚许可证和数据,点开文件夹中的Start.VBS

全部勾选之后点击run就会自动运行

输入上一张图中的license

然后点击继续

选择手动激活

然后点击继续即可

到此软件安装完成

一般来说我们到这里选择临时文件继续即可

默认设置

打开软件长这样，

我们基本上最常用的就是

代理(proxy),Intruder(爆破模块),

重放器(Repeater)，

这里我们先着重看看代理，

burp作为一款抓取数据包的工具，调好代理尤其重要

刚打开软件它就是空的，什么都没有，

这是因为我们还没有打开浏览器

（或者我们的网页没有走burp抓取的端口），

这里我们要做两件事

1:配置代理

在浏览器中通过插件，

或是直接在设置中配置到与BP在同一端口下

2:下载证书

如果不喜欢8080

可以点上面那个添加换上自己喜欢的端口，

但那个不是本次重点，我们要导出证书

先随便找个地方存着，名字叫什么无所谓，但一定要有der的后缀

然后就是打开浏览器

直接搜索证书，可以看到安全那里弹窗了，

点进去

往下滑可以看到管理证书，点进去

点击导入

下一步

浏览

先点击右下角，然后就能看到我们的证书

选自动选择然后下一步即可

如果要抓小程序的包，

我们需要直接点击安装证书

这里建议一定要把字体改一下，

这里我建议改这个哈

（不然的话很容易光标错位，用起来很难受）

插件安装

Jython环境安装

（这个是用于一个验证码爆破插件的，前期不安装也行）

在bp中我们有些插件是由python编写的，但是由于bp是基于java开发，所以我们在装python插件前，需要先装上jython环境

Downloads | Jython

下完长这样，我们不用点他，打开我们的bp

点击选择文件选到我们下载好的jar包

到这里为止基础环境大体完成

总结

环境配置永远是WEB学习的一大难题，不要害怕去配环境，从失败中吸取经验，越是困难越是要勇往直前。