DVWA 本地部署教程：一条命令拉起你的 Web 安全靶场

DVWA 本地部署教程一条命令拉起你的 Web 安全靶场【免费下载链接】DVWADamn Vulnerable Web Application (DVWA)项目地址: https://gitcode.com/gh_mirrors/dv/DVWA如果你想在合法环境里练手 SQL 注入、XSS、文件上传这类高频漏洞DVWA 本地部署几乎是最省事的一条路。这个基于 PHP/MariaDB 的练习应用故意把常见漏洞全摊在桌面上专门用来做安全训练。这篇 DVWA 安装教程带你从零把它跑起来再聊聊跑通之后该怎么练、怎么避坑。一、动手前先把这三条红线记住先别急着敲命令。DVWA 之所以叫 DVWA就是因为它是真·脆弱——任何拿到 shell 的人都能直接打穿它。所以下面三条是硬性前提只跑在隔离环境里。物理机、云服务器、生产服务器一律不行。用虚拟机NAT 组网或 Docker 容器把它和真实网络隔开。绝不对外暴露。默认它只监听本机回环地址别图方便把端口放开到局域网之外。练完就拆。训练用的账号、库、数据都是临时的用完彻底删掉别留尾巴。 一句话它是个「合法环境里的靶子」不是你要挂上网的东西。二、最快的路把 DVWA 塞进 Docker如果你机器上有 Docker这条路最快基本不用管 PHP 版本、模块依赖这些脏活。仓库里已经带了compose.yml把 Web 服务和数据库打包好开箱即跑。前置确认 Docker 就位先跑两条命令确认环境docker version docker compose version能看到版本号就说明环境 OK。没有的话按 Docker 官方安装文档配好 Docker Compose 再继续。三步拉起第一步把源码拉下来git clone https://gitcode.com/gh_mirrors/dv/DVWA第二步进入目录并启动cd DVWA docker compose up -d第三步浏览器访问http://localhost:4280小结注意端口是4280不是常见的80——这是官方故意避开的免得跟你本机已有的 Web 服务打架。端口想改的话去 compose.yml 里把127.0.0.1:4280:80的左侧换成你喜欢的端口即可。Docker 这条路还有一个好处数据库账号密码、库名都在compose.yml里用环境变量写死了用户dvwa、密码pssw0rd所以你完全不用碰配置文件。三、没有 Docker手动装到 Apache 上的活路不想用容器、或者你就是想摸清每一层在干什么那就走手动安装。以 Debian 系Ubuntu、Kali、Linux Mint为例。装软件一条命令把 Web 服务、数据库和 PHP 全装上apt update apt install -y apache2 mariadb-server mariadb-client php php-mysqli php-gd libapache2-mod-php 强烈建议用 MariaDB 而不是 MySQL——它默认配置就能跑通MySQL 反而要改认证方式才顺利。如果你还想玩 API 那个实验室记得开启 Apache 的 rewrite 模块a2enmod rewrite apachectl restart建库和建用户MariaDB 下不能直接用 root 给 DVWA 连库得单独建一个用户。用 root 进数据库执行下面几行create database dvwa; create user dvwalocalhost identified by pssw0rd; grant all on dvwa.* to dvwalocalhost; flush privileges;改配置把仓库里那份「示例配置」复制成真配置再按需改。这一步是手动安装独有的——cp config/config.inc.php.dist config/config.inc.php打开 config/config.inc.php确认这几个值和上面建库时用的对得上$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] dvwa; $_DVWA[ db_password ] pssw0rd;如果你不想动这些默认值这步可以直接跳过——只要建库时用的账号密码就是dvwa / pssw0rd默认配置就能连上。把源码目录丢进 Apache 的文档根默认/var/www/html然后重启服务让配置生效apachectl restart四、首次登录与初始化浏览器访问http://localhost/DVWA先点主菜单里的Setup DVWA再点Create / Reset Database。这一步会建库、灌入初始数据跑完你才算真正拥有可练的靶场。登录后用默认账号用户名admin密码password别笑这个密码——它弱到能被轻松爆破而这本身就是「弱口令」那个实验室的一部分。五、跑起来之后19 个实验室怎么练跑通之后你会发现左侧菜单挂着一整排漏洞实验室基本覆盖 OWASP 高频项SQL 注入含盲注sqli/sqli_blind、三类 XSS存储xss_s、反射xss_r、DOMxss_d、CSRF、文件上传upload、文件包含fi、命令执行exec、CSP、JS 安全、开放重定向、弱 ID、暴力破解与验证码brute/bac/captcha、加解密、认证绕过还有个带 Composer 依赖的api接口。每个实验室都分四个难度档low/medium/high/impossible。练法很简单——从low起步理解它为什么被打穿看impossible的修复写法对照源码看差在哪再回头做medium和high验证自己能不能独立复现。想细看某个模块的原理和源码点实验室旁的 help或者翻 vulnerabilities/ 下各模块的source/目录每个难度都有独立 PHP 文件对着看。六、进阶把练习当真实渗透来打跑通只是开始真正长本事在「拿工具打它」这一步接 Burp Suite / OWASP ZAP抓包、重放、跑扫描把实验室当真实目标打一遍。给自动化工具关鉴权。有些工具不爱处理 cookie 和登录态可以在配置里把认证关掉并固定一个低难度$_DVWA[ disable_authentication ] true; $_DVWA[ default_security_level ] low;这样所有功能免登录直连适合喂给扫描器。换 SQLi 后端练手。默认注入打的是 MariaDB也能切到 SQLite3改配置里的SQLI_DB文件在 database/sqli.db.dist玩坏了直接拷回去复原。让 PHP 把错误亮出来。排障和练注入时开着错误显示能省不少时间display_errors on display_startup_errors on改完记得重启 Apache。七、卡住了这些坑我替你踩过手动安装最容易翻车的几个点对号入座访问是 404 或 Apache 默认页九成是大小写。目录名是DVWA大写Linux 区分大小写http://localhost/dvwa会 404必须走http://localhost/DVWA。打开是白屏通常是 PHP 把错误吞了。先开display_errors再重启服务真正的报错多半是连不上库才会现形。Access denied #1045配置里的账号/密码和数据库对不上。命令行验一下mysql -u dvwa -ppssw0rd -D dvwa注意-p后没空格能连上就说明是配置文件填错了。Connection refused / #2002数据库没起来。systemctl status mariadb.service看一眼是不是active (running)没跑就sudo systemctl start mariadb。Unknown authentication method #2054新版 MySQL 的caching_sha2_password认证和老 PHP 不兼容。最省事的办法是别用 MySQL换 MariaDB。容器用户查日志更直接docker compose logs看合并日志或直接在 Docker Desktop 里点容器名看详情面板。八、练完之后周边还能看什么把 DVWA 吃透之后可以往这几个方向延伸同类靶场OWASP Broken Web Applications ProjectBWAPP应用类型更多、Metasploitable一整套脆弱的 Linux服务种类多、VulnHub一堆实战向虚拟机。跟紧版本漏洞点和修复方式会持续更新养成定期拉新代码的习惯CHANGELOG.md 里能看到改动轨迹。啃官方资料仓库 docs/ 下有 PDF 版文档和图形说明tests/ 里还带了个用 pytest 扫死链的小脚本能当「如何给 Web 项目写检查」的入门样例。最后一句老话所有渗透手段都只该用在你被明确授权的环境里。靶场归靶场别越界。完【免费下载链接】DVWADamn Vulnerable Web Application (DVWA)项目地址: https://gitcode.com/gh_mirrors/dv/DVWA创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考