HackLab：黑客模拟器 — —一款配备真实 Linux 终端的道德黑客游戏

判断手机应用是否有用，关键在于它是让你输入命令，还是只需点击答案，因为记住语法和操作顺序才是这项技能的大部分内容。HackLab 就是这样运作的：任务会给你一个终端，你可以输入 nmap、sqlmap 和 curl，应用会解析这些命令并返回逼真的输出，而且每个目标都是虚构的。它在 iOS 和 Android 上免费提供，无需任何经验。对真实主机使用真实工具，仍应在实验室或获批准的 CTF 中进行。

可以，而且是通过实践学习。应用内的 Linux 终端支持 ls、cat、grep、nmap、curl、ssh 和 sqlmap 等真实命令，并返回逼真的输出，因此每个任务都能帮助你养成可在真实 Linux 终端中复用的操作习惯。它运行所针对的主机都是虚构的，所以你输入的任何内容都不会触及真实系统。

学习是合法的。在专门为此打造的环境中阅读攻击相关内容、研究工具和进行练习，不会违反任何地方的法律。在大多数国家，违法的是未经书面许可访问或测试不属于你的系统；意图不能成为辩护理由——好奇心和善意动机都不会让未经授权的扫描变得合法。这正是模拟器、Capture-the-Flag 竞赛和家庭实验室存在的原因：它们能提供同样的练习，同时提前解决许可问题。

nmap 是网络扫描器。它会向主机发送数据包，并报告哪些端口会响应、端口是开放、被过滤还是关闭，以及通常是哪种软件和版本在监听——例如 22 端口上的 ssh、80 端口上的 http、443 端口上的 https。攻击者用它寻找入侵途径；防御者用它找出本不该暴露的服务。在 HackLab 中，任务的扫描阶段会针对模拟主机运行，因此你练习的是如何解读扫描输出。

当用户输入被直接拼接进数据库查询，而不是作为参数传递时，就会发生 SQL injection。攻击者可以在表单字段或 URL 中输入 SQL，数据库随后执行这些内容，返回或修改本不应暴露的数据。它之所以持续存在，是因为大型应用中的任何一个参数只要未进行转义就可能造成问题，而且修复方式——预处理语句和参数化查询——必须始终如一地应用，而不是只修复一次。

Capture the Flag 是安全领域标准的合法练习形式。组织者会搭建存在刻意漏洞的机器或挑战，玩家通过找出名为 flag 的隐藏字符串来证明自己成功入侵。评分依据是难度，通常还会计时。它之所以重要，是因为它提供了一个明确允许你攻击的目标。HackLab 会在自己的模拟环境中定期举办实时 CTF 锦标赛，同时提供与其他玩家的对决，以及挑战记录最佳用时的竞速。

不会。HackLab 是一款模拟器和游戏。终端会解析命令并返回逼真的输出，但其中的主机、网络和漏洞都是虚构的，完全存在于应用内部。它生成的任何内容都无法用于指向真实基础设施；完成任务后，你获得的是理解，而不是漏洞利用程序。这正是它的意义：你可以了解端口扫描、SQL injection 和 XSS 探测的表现，同时不会触碰任何你无权接触的对象。

HackLab 可在 App Store 和 Google Play 免费下载，并提供可选的 Pro 订阅。Pro 增加无限每日任务、全部 CTF 挑战、1.5x XP 倍率、每次续订可获得两次自动连续记录冻结、第二套装备配置，以及全部高级 Learn 课程。应用评级为 4+，商店页面提供使用条款和隐私政策链接。

不需要任何经验。任务从简单难度开始——查找主机上的开放端口、阅读服务器日志——并提供 Beginner、Intermediate 和 Advanced 方向，还有“经验等级”设置，会从第一次运行开始根据你的情况调整提示和节奏。如果某一步让你卡住，AI Mentor 每天会提供数量有限的免费上下文提示，帮助你找到应采用的技术，而不是直接给出答案。

认证可以帮助你获得机会，尤其是在申请第一份工作或政府合同时；但认证考查的知识，你仍然需要通过某种方式学习获得。大多数人会先通过实验室、CTF 和阅读来积累知识，然后参加考试证明自己的能力。HackLab 是练习工具，不是课程：它不是经过认证的课程，也不是考试题库，但通过完成任务，你会熟悉扫描、injection 和日志分析，让学习材料中的内容变成你已经见过的东西。

可以。全球排行榜会对世界各地的玩家进行排名，定期举办的实时 Capture-the-Flag 锦标赛会计时进行，并在结束后公布最终排名。你还可以使用邀请码，向朋友或随机对手发起异步对决，查看评分并进行 rematch；也可以挑战 Ghost——某个任务的历史最佳用时。每日任务、每日五题 trivia 回合，以及带有连续记录冻结功能的连续记录机制，会让日常得分持续进行。