基于php和mysql的虚拟Web应用，“内置”常见的Web漏洞，如SQL注入、xss之类，可以搭建在自己的电脑上，随便黑不犯法。搭建环境也很简单，下一个XAMPP包装上就差不多能用了。
其实你会发现搭建“靶场”这个工作相对拿现有的漏洞去复现要麻烦上许多，甚至有时候要安装对应的软件甚至操作系统（在虚拟机里）。但搭建本身也是学习Web应用知识和网站加固的一个非常好的途径。
---------2014-08-09更新---------
之前的答案是在手机上打的，还是再补充一下吧。
Metasploitable
著名的渗透框架Metasploit出品方rapid7还提供了配置好的环境Metasploitable，是一个打包好的操作系统虚拟机镜像，使用VMWare的格式。可以使用VMWareWorkstation（也可以用免费精简版的VMWarePlayer）“开机”运行。
如果你不喜欢填个人信息，或者这还有个下载地址？
这是基于Ubuntu系统修改定制的虚拟机镜像，内置了许多可攻击（metasploitable!）的应用程序，比如在Web应用方面预装了如下平台：
系统软件的漏洞（二进制漏洞）也是存在的，可以完成从Web到提权的一整套练习。而且已经内置了常见的Web环境如php+mysql，其他的网站应用同样可以尝试在上面自行搭建。
Metasploitable的官方英文手册：
也可以参考这篇译文：
OWASPBrokenWebApplicationsProject
跟Metasploitable类似，这也是打包好的虚拟机镜像，预装了许多带有漏洞的Web应用，有真实世界里的流行网站应用如Joomla,WordPress等的历史版本（带公开漏洞），也有WebGoat,DVWA等专门用于漏洞测试的模拟环境。
官方的使用说明：
演示视频（需梯）：
《Metasploit渗透测试魔鬼训练营》靶机环境
这本书是国内有名的蓝莲花团队带队诸葛建伟领衔撰写的，其中就有部分章节提到了针对Windows系统的漏洞利用和Metasploit实战，也提供了基于WindowsXP和Windows2003的环境。
我在网上搜索到的一个资源有如下文件：
WinXPenSP3.zipWin2K3Metasploitable.rar
OWASP_Broken_Web_Apps_VM_0.94_book_static_ip.rar
Metasploitable_ubuntu-book.zip
iCTF2011Server.rar
BT5R3-GNOME-VM-32_book_static_ip.rar
BT5R1-GNOME-VM-32-book.zip
自行搭建Windows环境也并不是太麻烦，因为安装程序都是图形化界面，而且这些老系统上的软件通常都比较可靠。你所需要的就是不停点下一步和看进度条的耐心……
系统方面不用说自然推荐WindowsXP和2003，他们目前的使用率还是相当可观的，既容易上手也具备实战价值，不乏MS08-067之类的教科书级漏洞。
软件方面推荐一些较为容易攻击和提权环境：
直接安装上面的虚拟机之后，你就拥有了一个虚拟的服务器，可以对它任意地糟蹋、练习攻防技术而不必有法律上的顾虑。万一不小心搞坏了环境，还可以使用虚拟机自带的快照功能瞬间恢复原状。
但是安装了虚拟机镜像之后仅仅是获得了一个服务器环境，可以用作对应平台脚本或者二进制漏洞的研究。对于需要玩真格的练习，比如要达到夺旗赛的效果，还得设计网络拓扑。你想上面的环境都可以直连mysql等数据库，可能一个弱密码就进去了，多没意思。一个完整的渗透过程不仅牵涉到漏洞的利用，还会有进入内网的要求。这时候就需要一些代理或者端口转发工具来实现从“外网”到“核心目标”的访问。
【Depth的回答(36票)】:
亲爱的楼主看这里，这里有十套系统。够不够你玩？
【z.t.z的回答(12票)】:
想玩challenge就去wechall吧，wechall是一个challenge平台，它通过账号链接的方式，集合了全球很多Challenge平台，通过评分还能知道各个平台是否好玩
当然wechall自己也出一些题，分类也很多
【刘呆呆的回答(6票)】:
什么？不会渗透！没关系，每一种漏洞都有视屏演示可以跟着做，绝对业界良心！
【WilliamKing的回答(2票)】:
搜索十大滲透測試演練係統。
【Ryat的回答(1票)】:
自己搭个环境，然后github上找套php程序搭建上，搞定！
【zyxxt的回答(1票)】:
Owasp
【李世钰的回答(1票)】:
电脑报做过几次闯关型游戏都是需要利用常见漏洞去获取进入下一关的密码