DVWA（Damn Vulnerable Web Application）的默认密码默认账号密码是admin / password。就这么简单，账号没那么多花活。默认密码

我第一次装DVWA的账号时候，压根没看文档，默认密码直接打开登录页就试了这两个词。账号结果一次通过，默认密码连大小写都不用纠结。账号后来带新人做渗透测试练习，默认密码十个人里有九个也是账号这么蒙对的——剩下那个输入了"Admin"，卡了三秒才反应过来。默认密码

这套默认凭证藏在DVWA的账号config/config.inc.php文件里，安装时如果懒得改，默认密码它就永远躺在那儿。账号很多人觉得"反正本地靶场，默认密码无所谓"，但真有人把DVWA部署到云服务器上做实验，忘了改密码，结果被扫描器扫到，成了别人的肉鸡。我见过一个真实案例：某安全培训机构的练习环境，用的就是默认密码，被学员无意间改了数据库内容，整批课程直接报废。

admin/password这个组合，弱得有点复古。它不像现在那些复杂的生成密码，倒像是2005年论坛时代的遗物。但DVWA故意这么设计——它的目的就是让你知道，弱口令有多危险。每次登录，那个大大的红色警告横幅都写着"Login: admin / Password: password"，像是在嘲笑你：看，这么蠢的密码，你还在用吗？

实际测试中，这个默认账号分两种权限：admin能看所有安全级别的模块，普通用户（比如你自己创建的）只能看低级别的。很多人不知道，DVWA还藏着一个默认的guest账号，密码是guest，权限更小，但聊胜于无——有些练习场景需要模拟不同角色，guest账号正好派上用场。

改密码这事儿，操作起来比想象中简单。打开config文件，找到$_DVWA[ 'db_user' ]和$_DVWA[ 'db_password' ]，改成自己的数据库凭证就行。但注意，DVWA的登录密码存在MySQL里，不是直接改文件。你得进phpMyAdmin，找到dvwa库的users表，用MD5加密新密码更新进去。很多人卡在这儿——他们改了config里的数据库密码，却忘了登录页用的还是旧凭证。

有一次，我故意把DVWA的密码改成"P@ssw0rd123"，然后让一个实习生去测。他试了十分钟没进去，最后翻源码才发现config文件里写的是数据库连接密码，跟登录密码根本是两码事。这种混淆很常见，新手容易栽跟头。

说到底，admin/password就是个教学工具。它存在的意义不是让你用，而是让你记住：任何系统，只要默认凭证没改，就跟没锁门一样。下次你部署任何东西——不管是DVWA还是别的什么——第一件事就是改密码，别偷懒。毕竟，黑客扫描器可不会管你是不是"只是练习用"。