DVWA的下载官方下载渠道其实就一个：GitHub仓库。直接搜“dvwa github”，下载第一个结果就是下载。别去那些乱七八糟的下载下载站，捆绑一堆东西不说，下载版本还可能是下载改过的。

我见过太多人在这第一步就踩坑。下载有个朋友图省事，下载从某软件站下了个“DVWA中文版一键安装包”，下载装完浏览器主页被劫持，下载折腾半天才清干净。下载DVWA本身是下载开源项目，代码全在GitHub上摆着，下载没必要绕路。下载

Git仓库克隆最省事

如果你机器上有git，下载直接：

git clone https://github.com/digininja/DVWA.git

就这一行，完事。克隆下来的目录里包含全部源码，后续更新也方便，git pull一下就行。我习惯把DVWA放在/var/www/html/下面，跟Apache或Nginx的默认站点目录对齐，省得再配虚拟主机。

没有git的话，GitHub页面右侧有个“Releases”区域，点进去下载zip包。注意别点成“Source code”那个自动生成的压缩包——虽然内容一样，但Releases里的版本带版本号，回滚或对照文档时更清晰。

下载完之后才是真正的门槛

很多人以为下载完就万事大吉，解压到web目录打开浏览器就能用。实际上DVWA需要配置数据库连接。把config/config.inc.php.dist复制一份改名为config.inc.php，然后编辑里面的数据库账号密码。

默认配置用的是root/空密码，这在Kali上通常没问题，因为Kali自带的MySQL/MariaDB默认就是root无密码。但如果你在Ubuntu或CentOS上搭，大概率连不上。得先给数据库设个密码，再把配置改对应。

还有个容易忽略的点：PHP的allow_url_include和allow_url_fopen得打开，否则有些模块会报错。我一般在php.ini里直接改，改完重启php-fpm或Apache。

版本选择别追新

DVWA的master分支更新挺频繁，但有些新提交反而会引入小bug。如果你只是用来练手，建议直接下载最新的稳定Release版本。我目前用的是v1.10，跑了半年多没出过问题。

另外提一句，DVWA的数据库初始化脚本在setup.php里。浏览器访问http://localhost/dvwa/setup.php，点那个“Create / Reset Database”按钮，它会自动建表并插入初始数据。如果这一步报错，九成是数据库连接配置不对，回去检查config.inc.php。

别在公网服务器上瞎搞

DVWA本身漏洞百出，这是它的设计目的。但你要是把它部署在公网VPS上还不改默认密码，等于给全网黑客送靶机。我见过有人拿阿里云最低配的机器搭DVWA，第二天就被扫出来，第三天数据库就被删了。

本地虚拟机或者Docker跑最稳妥。Docker的话，docker pull vulnerables/web-dvwa，一行命令拉起来，映射个端口就能用。比手动配LAMP环境快得多，还干净。

下载这件事本身没什么技术含量，但后续的配置和部署才是真正花时间的地方。DVWA的文档写得不算详细，很多坑得自己踩一遍才清楚。遇到问题先去GitHub的Issues里搜，大概率有人已经问过了。