DVWA（Damn Vulnerable Web Application）是靶场个故意留了无数后门的PHP应用，专门给安全测试练手。搭建别指望它有多精致，安装它的教程价值在于漏洞够真实、环境够乱，靶场能让你在合法范围内把SQL注入、搭建XSS、安装文件上传这些招数练到肌肉记忆。教程

搭建前先确认你手头有这三样：PHP环境（XAMPP或LAMP都行）、靶场MySQL、搭建以及一个不心疼的安装浏览器。我用的教程是Windows下的XAMPP，版本别太新，靶场PHP 7.4最稳——新版PHP 8以上对老代码兼容性差，搭建DVWA有些模块会直接白屏报错。安装

第一步，去GitHub下载DVWA源码。直接点“Code”按钮选“Download ZIP”，解压后把整个文件夹扔进XAMPP的htdocs目录，改个短点的名字，比如就叫“dvwa”。别用中文路径，不然session会出诡异问题。

第二步，启动Apache和MySQL服务。XAMPP控制面板里两个绿色箭头亮起来就行。这时候浏览器输入localhost/dvwa，大概率看到的是PHP配置错误提示——别慌，是缺扩展。打开php.ini，搜索“extension”，确保下面这几行前面的分号被去掉：
extension=mysqli
extension=gd
extension=curl
改完重启Apache。这一步卡住的人最多，十有八九是忘了开扩展。

第三步，访问DVWA首页，它会先跳到一个安装向导。向导要求你填数据库连接信息，默认是root用户、空密码。如果XAMPP里MySQL设过密码，去config/config.inc.php文件里改，把'db_password'那一行改成你的实际密码。保存后刷新页面，点“Create/Reset Database”按钮。如果看到一堆红字报错，大概率是数据库创建权限不够——直接去phpMyAdmin里手动建一个叫“dvwa”的数据库，再回来点一次按钮，通常就过了。

第四步，登录界面默认账号是admin，密码是password。进去后你会看到右侧有DVWA Security模块，那里可以调安全等级。初学者从low开始，medium和high会让你怀疑人生——比如low的SQL注入直接拼字符串，high的却要用Burp Suite抓包改参数才能绕过去。

有个坑必须提：DVWA的靶场环境默认是PHP的register_globals和allow_url_include等选项没开，导致某些文件上传漏洞无法复现。你需要在php.ini里手动开启：
allow_url_include = On
allow_url_fopen = On
改完重启Apache，再去文件上传模块测试，你会发现那个webshell终于能传上去了。

整个搭建过程快的话20分钟，慢的话一小时——取决于你卡在第几步。我见过有人卡在数据库连接上整整两天，最后发现是防火墙拦了3306端口。如果你也遇到连不上的情况，先检查杀毒软件有没有拦截Apache进程，Windows Defender经常干这种事。

最后提醒一句：DVWA默认的数据库密码是明文存在config文件里的，千万别把它部署到公网服务器上。本地虚拟机里玩玩就好，真要放到云服务器测试，记得改掉所有默认凭证，否则你练手的同时，别人也在拿你的机器练手。