TryHackMe

定义

TryHackMe 是一个通过浏览器访问的网络安全实训平台,主要服务对象是希望进入网络安全行业或提升实操能力的个人与团队^[6][3]。平台把内容切分为名为「房间」(Room)的短单元,每个房间围绕一个主题,包含讲解、引导性提问和需要动手完成的任务^[4]。若干房间按方向与难度串联成学习路径,覆盖渗透测试、安全运营、数字取证等领域^[3][1]。

用户练习所依赖的实验环境由平台提供。学习者既可下载配置文件,借助 OpenVPN 把本地机器连入平台的实验网络,也可直接在浏览器中启动预装常用安全工具的在线攻击机 AttackBox^[7][8]。实验环境在浏览器中加载,使用者无需自行安装和配置系统。这种低门槛的接入方式是该平台区别于传统课程与部分同类站点的重要特征^[9]。

原理

平台的基本流程可以概括为「部署—攻击—提交」。学习者在房间中启动一台或多台预置漏洞的虚拟主机,按题目提示完成信息收集、漏洞利用、权限提升等步骤,再把得到的结果(通常是一个被称为「旗帜」的字符串)填入答题框^[4][7]。回答正确即可获得积分,连续多日完成房间还会累积「连续学习」天数,这种游戏化设计被官方视为提高学习黏性的手段^[4]。

接入实验网络的方式主要有两种。其一是用 虚拟专用网络 把个人电脑接入平台内部网络,在本地系统中操作;其二是在浏览器里启动 AttackBox,直接获得一台预装工具的攻击机^[7][8]。免费账户每日可使用的 AttackBox 时长有限,付费账户不受该限制^[8]。

flowchart LR

A[选择学习路径或房间] --> B[启动虚拟靶机或 AttackBox]

B --> C[按任务提示进行攻防操作]

C --> D[取得旗帜并提交答案]

D --> E[获得积分与反馈]

E --> A

面向安全运营方向,平台提供名为 SOC Sim 的模拟产品。它在浏览器内构建一个仿真安全运营中心,给出包含真实告警与误报的实时告警队列,要求使用者依据剧本完成分类、调查与上报,并按平均处置时间等指标计分^[10]。平台还引入名为 Echo 的 人工智能 辅导功能,在用户卡住时给出提示,并在房间结束后提供反馈。

发展历程

平台由本·斯普林和阿舒·萨瓦尼于 2018 年创办。两人在伦敦的一次暑期实习中相识,当时他们发现市面上的网络安全学习资源要么要求较高的技术基础,要么价格昂贵,因此决定搭建一个面向各种水平学习者的平台^[2][9]。最初的原型把云端靶机与学习笔记结合起来,团队在 Reddit 等社区发布后开始有用户试用^[9]。

2019 年,团队与乔恩·彼得斯(Jon Peters)合作,开始免费提供学习资料与 夺旗赛 挑战,平台形态从个人笔记分享转向系统化教学^[1]。为扩大用户来源,团队还面向高校举办名为 HackBack 的夺旗赛事,其中第二届有 21 所大学报名参加。

到 2021 年,平台在全球拥有约 60 万名用户和 19 名员工,被 100 多所学校与大学采用,朴茨茅斯大学将其用于「道德黑客」课程^[2]。2022 年 7 月,该平台在 Infosecurity Europe 上被评为英国最具创新性的网络安全中小企业^[9][1]。此后平台继续扩充面向红队、蓝队和 DevSecOps 的内容^[9]。

2025 年,平台推出面向安全运营岗位的认证 SAL1(安全分析师一级),同期还推出面向初级渗透测试岗位的 PT1,并扩充了面向职业发展的培训项目^[5]。截至其官网页面显示,注册学习者已超过 800 万人。

应用

平台的主要使用者是从零起步的自学者和职业转型者。免费账户可以访问数百个入门与中级房间,涵盖网络基础、蓝队基础和入门级攻防实验;付费订阅则解锁全部学习路径、不限时长的靶机以及私有实验网络等服务^[5][8]。

在教育领域,平台被多所学校与大学纳入课程。朴茨茅斯大学将其用于「道德黑客」模块,团队也通过 HackBack 等赛事与高校建立合作^[2]。

面向企业,平台提供团队与管理方案,管理者可以查看成员的学习进度,并借助 SOC Sim 的报表比较团队的平均处置时间、平均驻留时间等指标,用于新员工入职培训与技能评估^[10]。平台还与 谷歌、CompTIA、毕马威等机构建立合作,并把培训内容与这些机构的能力标准对接^[1][5]。

平台自身的认证也被用作求职时的能力证明。PT1 与 SAL1 均以实操任务为考核形式,前者涵盖侦察、扫描、漏洞利用与报告撰写,后者侧重监控、风险管理与事件响应^[5][11]。

局限

平台的免费额度有明确限制。免费账户只能使用部分房间和部分学习路径,AttackBox 每天可用时长约 1 小时;完整学习路径、结业证明和不限时长靶机需要订阅付费方案^[8][5]。

平台内容以英文为主,对非英语学习者构成额外负担^[1]。有评测认为,其房间多采用循序渐进的引导式设计,与真实攻防场景相比难度偏低,部分付费内容也存在重复^[12]。

认证方面的认可度仍在积累中。SAL1 于 2025 年推出,属于较新的实操认证,市场认知度不及一些历史更久的同类认证^[11]。另有中文技术文章提到,中国大陆用户注册该平台时需要额外的网络设置。

参见

• Hack The Box —— 同类的在线网络安全实训平台,常与该平台并列比较。

• 夺旗赛 —— 平台上的部分挑战采用这种竞赛形式。

• 渗透测试 —— 平台的主要内容方向之一。

• 安全运营中心 —— 平台设有面向该岗位的模拟训练产品。

• OpenVPN —— 学习者可用它把本地机器接入平台的实验网络。