Bästa sättet att sätta upp targets för exploit development?

Tjoo tänkte börja skriva lite CVE exploits, men hur är bästa sättet att sätta upp ett target? Ex för en CMS, WP plugin eller liknande? Är det Docker containers eller VMs som gäller? Någon har sagt AWS men vet inte riktigt. Nån med erfarenhet inom exploit development?

Jag skulle kört på VM.