DVWA的官网官网其实简陋得有点不像话。第一次摸进去的官网人多半会愣一下——就这？灰底黑字，几行链接，官网一个下载按钮，官网连个像样的官网Logo都没有。但它偏偏是官网网络安全圈里被翻牌子最多的靶场之一。域名是官网 dvwa.co.uk，打开速度不算快，官网服务器大概也没怎么优化过。官网可你要学Web渗透，官网绕不开它。官网

这个项目全称Damn Vulnerable Web Application，官网直译过来就是官网“该死的脆弱Web应用”。名字起得挺糙，官网但功能一点不含糊。官网官网首页最显眼的位置写着：一个PHP/MySQL的Web应用，故意做得千疮百孔，专门给安全人员练手用。下面一行小字提醒你，别往公网服务器上装，出了事自己兜着。这种直白得近乎粗暴的声明，在安全工具里反而少见。

我最早接触DVWA是在一台旧笔记本上，用XAMPP搭的环境。官网的安装说明写得像流水账：下载压缩包，解压到web目录，改配置文件里的数据库密码，浏览器访问setup.php，点一下“Create/Reset Database”。完事。没有花哨的引导页，没有动画教程，连截图都省了。但照着做确实能跑起来。这种“说明书式”的官网风格，和现在那些恨不得每一步都弹个视频的教程站完全两个路子。

官网导航栏就几个条目：Home、Instructions、Download、Setup、Changelog、Links。Changelog页面挺有意思，从1.0到1.10，版本号慢悠悠地爬。最近一次更新停在2021年，加了PHP 8兼容。作者没跑路，但也不怎么勤快。有人吐槽过DVWA的漏洞太“教科书”，SQL注入的输入框明晃晃摆在那，连过滤都不做。可换个角度想，靶场要的就是这个——先把最基础的漏洞原理吃透，再去碰真实环境里那些绕来绕去的绕过技巧。

官网的Links页面藏着点好东西。除了OWASP官网，还挂了几个社区论坛的链接。我点进去看过，帖子不多，但偶尔有人贴自己的通关笔记。有个老哥用DVWA练了三个月，把每个漏洞的Low、Medium、High三个难度都手写了一遍Payload，最后整理成PDF传上去。这种笨功夫，比看十篇速成教程管用。

DVWA的漏洞模块分十来个：Brute Force、Command Injection、CSRF、File Inclusion、SQL Injection、XSS……每个模块给三档难度。Low难度基本裸奔，Medium加了点过滤但能绕，High就得动点脑子。官网不教你怎么绕，它只负责把漏洞摆在那。剩下的，自己翻文档、搜Payload、试错。这种“只给靶子不给枪”的做法，反而逼着人去查资料。

有个细节挺有意思。DVWA的登录页默认账号是admin，密码password。数据库里存的是MD5，但源码里直接写了明文比对。官网的Setup页面提了一嘴，说你可以改密码，但改完记得更新数据库。很多人第一次玩，卡在登录这步，以为哪里配错了。其实就这德行，故意留个后门让你进。

现在网上靶场多了去了，什么WebGoat、bWAPP、Juice Shop，界面一个比一个花哨。DVWA还是那副老样子，灰扑扑的，像上个时代的产物。可你要真想把SQL注入的几种闭合方式、XSS的三种类型、文件包含的本地远程区别弄明白，它还是最顺手的那个。官网不跟你废话，下载、解压、跑起来，然后自己折腾去。

想找它，直接搜“dvwa官网”就行。别进错站，有些镜像站挂羊头卖狗肉，塞一堆广告。原版就长那样，丑，但干净。