dvwa渗透测试平台

DVWA（Damn Vulnerable Web Application）是渗透一套用PHP和MySQL写的Web漏洞演练环境。它的测试核心价值就一句话：故意把漏洞摆在你面前，让你亲手打一遍。平台我见过太多人抱着《Web安全深度剖析》啃了三个月，渗透SQL注入的测试原理背得滚瓜烂熟，结果一打开sqlmap的平台图形界面就不知道从哪下手。DVWA解决的渗透正是这个断层——它把漏洞拆成模块，每个模块配一个难度旋钮，测试从Low到Impossible，平台让你在同一个页面上反复切换攻击视角和防御视角。渗透

安装这件事本身就值得说两句。测试官方推荐用XAMPP或者Docker跑，平台我试过在Ubuntu 22.04上手动配Apache+PHP 8.1+MariaDB，渗透结果卡在allow_url_include这个配置项上——DVWA的测试文件包含模块需要它开着，但PHP 8默认关得死死的平台。后来换了Docker镜像vulnerables/web-dvwa，一条docker run命令两分钟搞定。这里有个细节：登录页面的默认账号是admin，密码是password，但数据库初始化按钮Setup / Reset DB藏在左侧菜单最底下，第一次用的人经常找不到。点下去之后它会自动建表、插数据，页面底部会弹出一行绿色提示，告诉你初始化完成。整个过程没有任何进度条，就干等几秒，然后刷新。

Low难度下的SQL注入模块，输入框里敲一个单引号，页面直接报MySQL语法错误，把查询语句的片段暴露出来。这就是最经典的联合查询注入入口。我试过用1' UNION SELECT user, password FROM users -- ，页面上直接回显了五个用户名和对应的MD5哈希。到了Medium难度，前端变成了下拉菜单，你以为没法注入了？抓包改一下id参数，照样能注。只是这次它用了mysql_real_escape_string，单引号被转义了，得换数字型注入或者用0x十六进制绕过。High难度加了LIMIT 1和会话令牌，但如果你把注入点放在Cookie里，它照样中招。Impossible难度用了PDO预处理，参数和语句彻底分离，这时候你才真正体会到“防御”两个字怎么写。

文件上传模块更有意思。Low难度下你传一个.php的webshell，服务器照单全收，返回的路径直接告诉你文件存在hackable/uploads/下面。Medium难度加了MIME类型检查，但只检查Content-Type头，用Burp把application/x-php改成image/jpeg就过了。High难度连扩展名也查，但php5、phtml这些冷门后缀它不认识，照样能执行。Impossible难度把文件名重写成随机字符串，扩展名强制改成.jpg，还加了getimagesize()校验——这时候你传个图片马进去，还得配合文件包含漏洞才能触发。你看，防御是一层一层加上去的，攻击也是一层一层绕过去的，这种对抗感在DVWA里体现得特别具体。

我个人的习惯是每做完一个模块，就把对应的PHP源码打开看一遍。比如命令注入模块的Low难度，源码里直接shell_exec('ping ' . $_POST['ip'])，连过滤都没有。Medium难度把&&和;过滤了，但|没管，你输入127.0.0.1 | whoami照样执行。High难度用黑名单过滤了一堆符号，但|后面加个空格就绕过了——因为它的正则写的是/\|/，没考虑空格分隔的情况。这种细节光看教程是记不住的，非得自己试一遍，看到www-data的用户名弹出来，那个瞬间才算真懂了。

DVWA不适合拿来炫技。它的漏洞都是教科书级别的，真实环境里早被WAF拦了八百遍。但它的价值在于给你一个安全的沙盒，让你把“输入→解析→执行→回显”这条链路走通。你在这个平台上养成的习惯——先看源码、再抓包、最后写payload——放到任何渗透测试项目里都用得上。我见过有人把DVWA的Impossible难度全部通关后，转头去挖某CMS的漏洞，三天就出了两个中危。不是他天赋异禀，是他在DVWA里把该踩的坑都踩了一遍。

(责任编辑：焦点)