前言¶
环境配置这一篇咕了很长一段时间，一是笔者在很长一段时间无法确定站在新手的角度环境到底要配置到什么程度，二是确实是懒了。
不过在笔者接了无数个培训项目之后 —— 作为新手，使用类似 HackBar 这样的代理发包扩展就能解决绝大多数题目，不过涉及到一些自动化场景时，使用 Burpsuite 这样的高集成平台会更好，当然你也可以选择 Burpsuite 的国产平替 Yakit 。
既然说到自动化，部分题目涉及到的爆破，条件竞争，特定Payload甚至某些特定攻击条件的情况可能无法使用Burpsuite这样的平台或者使用平台会更复杂，这种情况可能需要使用外部脚本来实现攻击 —— 针对一些漏洞类型，NDay等经典或者历史性漏洞，有现有的各类工具你可以自行收集；当然也有需要你自己编写exp（Exploit - 利用程序）的攻击场景，这时便需要你掌握一些语言，如Python，Go，Java等。
随后就是涉及到一些漏洞的研究型场景，比赛中你可能会遇到未披露的漏洞，或者多个历史漏洞的组合场景，需要中间调试才能得到完整的攻击链路，这种题目通常是白盒场景，出题人可能给你一个容器作为该题目的附件，因此，掌握容器技术和虚拟化技能至关重要——无论题目是否采用白盒形式，这些能力都是漏洞研究的核心基础。
或许你会觉得在环境配置的前言里面就开始谈漏洞研究是否有些为时过早，并不，这里我们回到语言，作为Web的初学者，PHP是大多数人接触的第一个也是在这个阶段接触最多的一个语言，很多Web入门阶段的题目也都使用PHP命制，所以配置PHP环境也尤为重要，同时PHP的典型漏洞繁多，各种分析文章也早已成熟，很非常适合漏洞研究或者说代码审计入门。
总之这篇文章不会一股脑把东西全扔给你，真所谓师傅领进门，修行靠个人，我们会在文章中尽可能告知你基础环境事宜，其他的就要你自己了。
浏览器插件¶
浏览器插件这里只说两个：浏览器的发包工具，以及浏览器的代理切换工具。
HackBar¶
HackBar（或同类扩展，如部分浏览器内置的开发者工具配合书签脚本）用于在页面上下文中快速构造与修改 HTTP 请求，适合入门阶段改参数、试 Payload、理解请求结构。社区版与付费版功能有差异，按需选用即可；若你后续主要用 Burp Suite / Yakit，HackBar 仍可作为轻量补充，不必二选一。
使用上注意：仅在自己有权测试的环境上使用；不要在生产或他人站点上随意发包。
SwitchyOmega¶
SwitchyOmega（浏览器代理切换扩展）用来在「直连 / 系统代理 / 指定 HTTP(S) 或 SOCKS 代理」之间一键切换。搭配 Burp Suite、Yakit、本地抓包或扫描工具时，把浏览器流量导向本地监听端口即可；不用时切回直连，避免日常上网误走代理。
配置要点：代理地址与端口需与 Burp / Yakit 等工具中的监听设置一致；HTTPS 流量如需解密，还需在系统或浏览器中信任对应根证书（各工具文档中有说明）。
语言环境¶
Web 方向不必一上来全学，可按题目与兴趣逐步加；下面三种在 CTF 与漏洞研究中最为常见。
PHP¶
入门阶段大量题目与靶场基于 PHP，能读懂常见危险函数与典型漏洞模式（如文件包含、反序列化、弱类型等）往往比「背语法」更重要。环境上可在本机安装 PHP + 一个 Web 服务器（如内置 Server、Apache、Nginx），或使用 集成包（如 Windows 下的 XAMPP、WampServer 等）快速起环境；具体安装步骤因系统而异，以官方文档与可信教程为准。
建议配合本地或 Docker 中的小型 PHP 靶场练习，边改代码边看报错，比只看文章印象更深。
Python¶
Python 适合写爆破脚本、数据处理、简单自动化与调用各类安全工具库。版本上优先使用 Python 3；包管理可用 pip，需要隔离环境时可使用 venv 或 conda。不必追求「环境配到完美再做题」，能运行脚本、会查报错、会装依赖即可。
Java¶
部分题目与真实环境涉及 Java Web（如 Spring 系），审计或调试时可能需要 JDK 与构建工具（如 Maven / Gradle）。入门阶段不必强行啃完整套 Java EE，可先掌握：项目结构、常见组件名、如何下断点与看栈，再随题目深入。
若你主攻其他语言，遇到 Java 题时再针对性补即可。
虚拟机¶
虚拟机用于在隔离环境中跑 Linux 发行版（如 Kali、Ubuntu 等）、旧版系统或出题人提供的镜像，避免污染物理机，也方便做快照回滚。常见方案包括 VMware Workstation、VirtualBox 等；分配内存与磁盘时给 Docker、IDE 和浏览器留足余量即可。
更完整的「Linux + Docker + 远程开发」工作流可参考站内 在 Linux 上部署 Docker 环境 等文档，按需取用。
容器¶
掌握基础的容器操作，可以更好地跟进各类漏洞公告与复现文章，同时你也有更多选择：相比于仅依赖比赛平台，你能拉取开源靶机自行搭建训练，自由度更高。
建议至少熟悉：镜像与容器的概念、用 Docker（或兼容实现）拉取镜像、启动/停止容器、查看日志、进入容器执行命令；若题目附件是 Dockerfile 或 docker-compose.yml，能按说明 build 并 run 即可上手做题。
安装与日常命令因系统而异，Windows 可使用 Docker Desktop，Linux 可参考 在 Linux 上部署 Docker 环境。Kubernetes 等编排工具属于进阶内容，入门阶段不必强求。
小结¶
浏览器插件解决「快速改请求、切换代理」；语言环境支撑脚本与审计；虚拟机与容器支撑 可复现、可回滚 的练习与研究环境。按前言所说，本文只铺一层底，更深的内容仍要结合题目与文档自行延展。