轻量级漏洞靶场实战：5分钟用Docker-Compose部署Vulhub全攻略

在网络安全学习和渗透测试实践中，一个随时可用的漏洞环境就像武术家的木人桩。但传统虚拟机搭建方式往往让我们的电脑变成"暖手宝"——内存占用飙升、风扇狂转、操作卡顿。最近帮一位学员排查环境问题时，发现他电脑同时运行着3个VirtualBox虚拟机，系统响应延迟高达7秒，这种体验简直是对学习热情的"降维打击"。

Docker容器技术就像为靶场训练量身定制的瑞士军刀。相较于传统虚拟机需要模拟完整操作系统（通常占用2-4GB内存），容器仅打包应用及其依赖，内存消耗可降低90%以上。Vulhub作为目前最活跃的开源漏洞靶场项目，已集成200+漏洞环境，从经典的Struts2到新型的Log4j漏洞应有尽有。下面这个对比表直观展示了两种方式的资源差异：

指标	传统虚拟机方案	Docker容器方案
内存占用	2-4GB/实例	200-500MB/实例
启动时间	1-3分钟	5-30秒
磁盘空间	20GB+/实例	500MB-2GB/实例
宿主性能影响	显著	轻微
环境复用性	需完整克隆	镜像秒级共享

1. 环境准备：更智能的Docker部署方案

1.1 系统优化前置工作

在开始安装前，建议先执行以下系统优化命令（适用于Ubuntu/Debian）：

# 更新软件源并升级现有包
sudo apt update && sudo apt upgrade -y

# 安装基础工具集
sudo apt install -y curl git ca-certificates gnupg lsb-release

对于国内用户，推荐配置镜像加速以避免下载超时。这里给出阿里云镜像配置方法：

# 创建配置目录
sudo mkdir -p /etc/docker
# 写入加速器配置（替换your-aliyun-id为实际ID）
sudo tee /etc/docker/daemon.json <<-'EOF'
{
  "registry-mirrors": ["https://<your-aliyun-id>.mirror.aliyuncs.com"]
}
EOF

1.2 Docker引擎一键安装

官方提供的安装脚本虽然便捷，但缺乏灵活性。推荐使用apt仓库安装，便于后续版本管理：

# 添加Docker官方GPG密钥
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg

# 设置稳定版仓库
echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 安装Docker引擎
sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io

验证安装成功后，将当前用户加入docker组避免频繁使用sudo：

sudo usermod -aG docker $USER
newgrp docker  # 立即生效无需重启

2. 高效部署Vulhub全栈环境

2.1 容器化组件安装

Docker-Compose现在已作为独立包发布，不再依赖Python环境。这是最新安装方式：

# 下载最新二进制文件（替换版本号）
DOCKER_COMPOSE_VERSION=$(curl -s https://api.github.com/repos/docker/compose/releases/latest | grep 'tag_name' | cut -d\" -f4)
sudo curl -L "https://github.com/docker/compose/releases/download/${DOCKER_COMPOSE_VERSION}/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose

# 赋予执行权限
sudo chmod +x /usr/local/bin/docker-compose

提示：若下载速度慢，可使用国内镜像地址替换github.com为hub.fastgit.org

2.2 Vulhub靶场快速部署

传统克隆方式在弱网环境下容易中断，推荐使用分片下载：

# 创建项目目录
mkdir -p ~/vulhub && cd ~/vulhub

# 使用浅克隆节省时间和空间
git clone --depth=1 https://github.com/vulhub/vulhub.git

对于特定漏洞环境，可以只下载所需目录。例如仅需Struts2漏洞环境：

svn export https://github.com/vulhub/vulhub/trunk/struts2/s2-001

3. 靶场实战：容器化漏洞环境管理

3.1 智能启动与监控

在目标漏洞目录下，使用以下命令组合实现一键部署：

# 构建并启动容器（后台模式）
docker-compose up -d

# 实时查看日志（Ctrl+C退出）
docker-compose logs -f

# 查看运行状态
docker-compose ps

针对内存有限的设备，可以添加资源限制：

# 在docker-compose.yml中添加：
services:
  web:
    mem_limit: 512m
    cpus: 0.5

3.2 环境快照管理

使用以下命令组合实现环境状态的灵活控制：

# 暂停环境不删除资源
docker-compose pause

# 恢复运行
docker-compose unpause

# 完全停止并删除容器
docker-compose down

# 彻底清理（包括镜像）
docker-compose down --rmi all

对于常用环境，可以创建预构建的镜像：

docker-compose build --no-cache && docker save -o s2-001.tar s2-001_web

4. 高级运维技巧

4.1 资源占用监控方案

使用cAdvisor可视化监控容器资源：

# 启动监控容器
docker run \
  --volume=/:/rootfs:ro \
  --volume=/var/run:/var/run:ro \
  --volume=/sys:/sys:ro \
  --volume=/var/lib/docker/:/var/lib/docker:ro \
  --publish=8080:8080 \
  --detach=true \
  --name=cadvisor \
  google/cadvisor:latest

访问http://localhost:8080即可查看各容器CPU/内存/网络使用情况。

4.2 磁盘空间回收策略

Docker长期使用会产生冗余数据，推荐定期执行：

# 查看磁盘使用
docker system df

# 自动清理无用对象
docker system prune -f

# 深度清理（包括未使用镜像）
docker system prune -a --volumes

对于特定漏洞环境，可以只保留数据卷：

docker-compose down --volumes --remove-orphans

在最近一次内部测试中，使用Docker方案在4GB内存的云服务器上同时运行了5个不同类型的漏洞环境（Struts2、ThinkPHP、WebLogic等），系统负载始终保持在1.0以下，而同样的环境在VirtualBox中单实例就需要2GB内存分配。这种资源效率的提升，使得在树莓派这类边缘设备上运行完整靶场成为可能。