内容摘要：```html DVWA用于测试什么漏洞 body { font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto,

```html

DVWA用于测试什么漏洞

打开DVWA的登录页面，输入admin和password，测试把安全等级调到low。什漏你面前立刻摆着十来个漏洞模块，用于每一个都是测试真实可触发的。这东西不是什漏让你“学习概念”的，它是用于让你亲手把SQL注入的引号塞进输入框，然后看着数据库把整张用户表吐出来。测试

DVWA全称Damn Vulnerable Web Application，什漏直译就是用于“该死的脆弱Web应用”。它用PHP+MySQL写成，测试故意留下各种经典漏洞。什漏你可以在本地搭，用于也能用Docker跑。测试我见过不少人把它当成“刷题工具”，什漏其实它更像一个漏洞靶场——每个模块都对应一种或几种CWE编号。

先看最出名的SQL Injection。页面就一个输入框，让你输User ID。正常输入1，返回admin信息。输入1' OR '1'='1，整张表全出来了。这还没完，把安全等级调到medium，前端加了mysql_real_escape_string，但数字型注入依然存在——你输1 OR 1=1照样通杀。到high级别，限制更严，但用UNION SELECT配合注释符还是能绕。DVWA把三种防护强度都摆出来，让你对比绕过手法，这比看十篇教程都管用。

再说XSS，分反射型、存储型、DOM型三个子模块。反射型最简单，在输入框写<script>alert(1)</script>，页面直接把脚本弹出来。存储型更狠，留言板里插一段脚本，每个访问者都会中招。DOM型不经过服务器，纯前端document.write惹的祸。我印象最深的是medium级别，它用str_replace把<script>替换成空，但大小写混写<ScRiPt>就能绕过。这种细节，只有亲手试过才记得住。

文件包含漏洞也值得单独拎出来说。File Inclusion模块让你选文件，正常点file1.php就显示内容。把参数改成../../../../etc/passwd，Linux系统用户列表直接暴露。如果allow_url_include开着，还能远程包含一个shell。DVWA默认配置里这个选项是关的，但你可以自己改php.ini打开——然后就能体验一把远程代码执行的快感。

命令注入模块更直接。一个ping工具，输入IP地址就执行ping。你输127.0.0.1; whoami，服务器当前用户就打印出来了。分号、管道符、&&都能用。medium级别过滤了&&和;，但没过滤|，照样能执行。这种“黑名单式防护”的脆弱性，DVWA用最直白的方式扇你一巴掌。

还有CSRF。改密码页面没有任何token验证，你构造一个恶意页面，里面藏一个自动提交的表单，受害者一访问，密码就被改了。DVWA的CSRF模块甚至给你一个“测试漏洞”的按钮，点一下直接模拟攻击成功。我拿这个模块给新人演示过，他们看完第一反应都是“这也太容易了”。

暴力破解模块Brute Force也很有意思。登录框没有验证码，没有登录失败锁定。你用Burp Suite抓包，Intruder加载字典跑，几分钟就能跑出admin的密码。low级别下，用户名和密码字段甚至没做任何过滤。medium级别加了sleep(2)，但只是拖慢速度，字典够大照样破。

不安全的验证码、弱会话ID、开放重定向、JavaScript攻击……DVWA一共十几个模块，覆盖了OWASP Top 10里的大部分内容。它不教你写代码，它让你当攻击者。每个模块都有“View Source”按钮，你能看到漏洞代码长什么样，也能看到修复后的代码长什么样。这种对比学习，比单纯看文档高效得多。

我自己的习惯是：每学一个新漏洞类型，先在DVWA里手动复现一遍，再用sqlmap、XSStrike这些工具跑一遍，最后看源码理解根本原因。DVWA的代码很粗糙，变量命名随意，函数也不优雅——但这恰恰是它的价值。真实世界里的老系统就长这样，漏洞就藏在那些随意的字符串拼接和缺失的过滤里。

别指望DVWA能教你高级绕过技巧，它就是个入门靶场。但入门这件事，它做得足够好。你不需要配置复杂的网络环境，不需要申请测试授权，下载解压就能打。对于刚接触Web安全的人来说，DVWA是那个让你第一次感受到“原来这么简单就能黑进去”的地方。这种冲击感，比任何理论都让人记得牢。

```