从‘靶场‘到‘实战‘：把Pikachu漏洞环境搬上云服务器（阿里云/腾讯云实操）
从本地到云端：实战部署Pikachu漏洞靶场的全流程解析
当安全爱好者从本地虚拟机转向真实的云环境时，部署漏洞靶场会遇到一系列全新的挑战。本文将带你一步步在阿里云或腾讯云服务器上搭建可公网访问的Pikachu靶场，同时兼顾安全性与实用性。
1. 云服务器基础配置
购买云服务器后，第一件事不是立即部署环境，而是做好基础安全加固。不同云厂商的操作略有差异，但核心原则一致。
阿里云ECS配置要点：
- 选择CentOS 7.9或Ubuntu 20.04 LTS系统镜像
- 建议配置不低于2核4GB（Pikachu运行资源需求不高）
- 务必设置高强度root密码（16位以上混合字符）
腾讯云CVM特别注意：
# 首次登录建议立即更新系统 sudo apt update && sudo apt upgrade -y # Ubuntu sudo yum update -y # CentOS提示：购买后立即创建快照，方便回滚错误配置
安全组是云环境特有的防护层，需要精细配置：
| 端口 | 协议 | 授权对象 | 用途 | 建议 |
|---|---|---|---|---|
| 22 | TCP | 您的办公IP | SSH管理 | 限制为固定IP |
| 80 | TCP | 0.0.0.0/0 | HTTP访问 | 可后期收紧 |
| 443 | TCP | 0.0.0.0/0 | HTTPS访问 | 非必需可不开放 |
2. 高效部署Web运行环境
宝塔面板是快速搭建环境的利器，但需要注意安全风险：
- 安装官方最新版（避免第三方修改版）
wget -O install.sh http://download.bt.cn/install/install-ubuntu_6.0.sh && sudo bash install.sh - 安装完成后立即修改默认8888端口和面板入口路径
- 通过面板一键安装LNMP环境（Nginx 1.20 + MySQL 5.7 + PHP 7.4）
对于追求轻量化的用户，手动部署更可控：
# Ubuntu示例 sudo apt install nginx mysql-server php-fpm php-mysql -y sudo systemctl enable nginx mysqlPHP版本兼容性是常见痛点。Pikachu官方推荐PHP 5.4-7.4，但在新系统上可能需要调整：
# /etc/php/7.4/fpm/php.ini关键修改 short_open_tag = On display_errors = Off # 生产环境必须关闭3. Pikachu靶场部署与调优
从GitHub获取最新代码：
cd /var/www/html sudo git clone https://github.com/zhuifengshaonianhanlu/pikachu.git sudo chown -R www-data:www-data pikachu数据库初始化时常见问题解决：
- 创建专属数据库用户（避免使用root）
CREATE DATABASE pikachu; GRANT ALL ON pikachu.* TO 'pikachu_user'@'localhost' IDENTIFIED BY 'complex_password'; FLUSH PRIVILEGES; - 导入SQL文件后检查字符集是否为utf8mb4
Nginx配置要点：
server { listen 80; server_name your_domain_or_ip; root /var/www/html/pikachu; index index.php index.html; location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/var/run/php/php7.4-fpm.sock; } }4. 高级安全加固策略
基础部署完成后，需要额外防护措施：
Fail2Ban安装：防止暴力破解
sudo apt install fail2ban -y sudo systemctl enable fail2ban定期备份方案：
- 数据库每日dump
mysqldump -u pikachu_user -p pikachu > /backup/pikachu_$(date +%F).sql- 代码目录打包压缩
- 利用云厂商快照功能
访问控制进阶：
- 使用.htaccess限制敏感目录
- 配置Nginx基础认证
- 设置CSP安全策略头
5. 运维监控与法律边界
部署完成后，需要建立监控机制：
- 使用云监控服务观察CPU/内存波动
- 分析Nginx访问日志中的异常请求
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr - 设置Web应用防火墙规则（如阿里云WAF）
关于法律合规的重要提醒：
- 明确标注"此为漏洞演示环境"的免责声明
- 记录所有访问者IP和操作日志
- 非测试时段关闭公网访问或启用IP白名单
- 使用完毕后彻底销毁环境（包括快照）
实际测试时发现，云环境下的网络延迟会影响某些漏洞的复现效果，特别是基于时间的盲注。这时可以考虑：
// 适当调整pikachu/config.inc.php中的超时设置 $_config['request_timeout'] = 30;对于教学演示，建议在环境中添加明显的标识水印，避免被误认为真实系统。同时，定期更新到最新版本可以修复已知的演示漏洞，防止被二次利用。