owasp bwa靶机镜像：一台跑不死的靶机漏洞练习场

OWASP Broken Web Applications Project，简称OWASP BWA，镜像是靶机一个预装了大量脆弱Web应用的虚拟机镜像。它不是镜像给你生产环境用的，是靶机给你搞破坏用的。下载下来，镜像导入VMware或者VirtualBox，靶机开机就能打。镜像这玩意儿在安全圈子里流传了十多年，靶机至今仍是镜像入门Web渗透测试的首选靶场。

镜像里塞了二十多个漏洞应用。靶机DVWA、镜像WebGoat、靶机Mutillidae II、镜像bWAPP这些老面孔全都在列，靶机还有几个冷门的比如Hackademic Challenges和WackoPicko。每个应用都故意留了后门、SQL注入点、XSS反射点，甚至还有整段整段的命令执行漏洞。说白了，这就是一个“你随便打，打坏了算我的”的沙盒。

我第一次用这镜像的时候，卡在了一个奇怪的地方：VMware里网络适配器设成了NAT模式，结果访问靶机IP死活不通。后来发现默认是仅主机模式，得手动改成host-only或者桥接。这种小坑不少，但好在官方文档写得够细，网上教程也多。你要是连这个都搞不定，那后面估计也学不下去。

镜像的默认登录凭据是root/owaspbwa，SSH端口22，Web服务跑在80和443。进去之后，首页是个导航页，列了所有预装应用的超链接。你点开DVWA，安全等级调到low，然后就可以开始拿SQLmap扫了。注意，这镜像里有些应用之间是共享数据库的，比如DVWA和Mutillidae用的可能是同一个MySQL实例。你往DVWA里灌数据，可能污染到另一个靶场的状态。别问我怎么知道的，我上次把WebGoat的用户表清空了，结果旁边的bWAPP也跟着报错。

这镜像最大的价值不是“练手”，而是“对比”。你在DVWA里用sqlmap一把梭，到了WebGoat可能就得手工构造请求。因为每个应用用的框架、数据库、防护机制都不一样。有的有简单的输入过滤，有的直接裸奔。这种差异性很真实——现实中的目标系统不可能统一用同一套栈。你练的不是某个工具，而是“遇到陌生环境怎么快速判断漏洞类型”的能力。

镜像本身不更新了，官方最后维护大概停在2015年左右。里面的组件版本老掉牙，PHP还是5.x，MySQL还是5.5。但这不耽误你练手——反而更贴近现实中那些跑了几年的老系统。你要真想装新版，可以自己往里面加Docker容器，但那就偏离了“开箱即用”的初衷。

有个细节值得提：镜像里带了一个叫“Gryphon”的练习环境，是个模拟的金融交易平台，漏洞设计得挺精巧。不像DVWA那种直白到近乎羞辱的难度，Gryphon的注入点藏得深，还得结合业务逻辑漏洞才能拿shell。我在这上面卡了一个周末，最后是靠读源码才找到突破口。这种“被虐”的体验，恰恰是靶机该有的样子。

说句实在话，OWASP BWA的界面丑、组件旧、文档散，但它胜在“全”。你想练什么类型的攻击，基本都能找到对应的应用。哪怕现在出了很多新靶场，比如VulHub、HackTheBox，我依然会推荐新手先把这个镜像跑通一遍。不是为了学多少高级技巧，而是为了建立“漏洞长什么样”的基本直觉。这种直觉，靠看视频学不来，只能自己动手打。

最后提醒一句：这镜像别直接暴露在公网上。有人图省事，把靶机挂到云服务器上，结果没到一天就被别人扫了。你拿它练手，别人拿你练手，何必呢。老老实实跑在本地虚拟机里，断外网都行。