DVWA的何启爆破栏不是默认开着的。你装完DVWA，爆破登录进去，何启左侧菜单里那个“Brute Force”按钮大概率是爆破灰的，或者点进去提示“模块已禁用”。何启这不是爆破bug，是何启DVWA的安全等级在作怪。默认安装后安全级别通常卡在“impossible”或“high”，爆破爆破模块直接被锁死。何启想用它，爆破得先把难度调下来。何启

登录DVWA，爆破用户名admin，何启密码password，爆破这是何启默认的。进去之后看左侧导航栏最下面，有个“DVWA Security”按钮。点它。页面会显示当前安全等级，可能是impossible。下拉框里选“low”，然后点Submit。这一步不做，后面所有操作都是白费力气。我见过有人折腾半小时，重装了三遍DVWA，最后发现只是安全等级没调。

调完等级，刷新一下页面。左侧菜单里的“Brute Force”应该能点了。点进去，你会看到一个简单的登录表单，要填Username和Password。下面有个Login按钮。这就是爆破的靶子。页面底部通常还会显示“View Source”和“View Help”，点“View Source”能看到后端PHP代码，这对理解爆破逻辑有帮助。

但光有表单还不够。DVWA的爆破模块需要配合抓包工具才能跑起来。浏览器直接提交表单，你只能手动试密码，那不叫爆破。得用Burp Suite或者OWASP ZAP这类工具拦截请求。以Burp为例，先配置浏览器代理指向Burp的监听端口，通常是8080。然后回到DVWA的Brute Force页面，随便填个用户名密码，点Login。Burp会截获这个POST请求。

把截获的请求发送到Intruder模块。在Intruder里，把Password参数的值设成攻击载荷位置。Payload类型选“Simple list”，然后加载一个字典文件。Kali Linux自带rockyou.txt，路径在/usr/share/wordlists/。如果没解压，先gunzip一下。字典里全是常见密码，跑起来很快。

开始攻击。Burp会逐个提交字典里的密码，观察响应长度。DVWA在low等级下，成功登录和失败登录的响应长度不一样。成功时页面会显示“Welcome to the password protected area”之类的字样，长度通常比失败页面长一点。在Intruder结果里按Length排序，那个明显不同的就是正确密码。

有个细节容易忽略：DVWA的爆破模块在low等级下没有做任何速率限制，也没有验证码。你可以放心跑字典，几千条几秒就完事。但如果你把安全等级调到medium，它会加个sleep(2)，每次请求延迟两秒，爆破速度直接掉到龟速。high等级更狠，会随机延迟，还带token验证。所以想练爆破，老老实实待在low。

跑出密码后，回到DVWA页面手动登录一次验证。成功的话，你会看到那个熟悉的欢迎信息。整个过程不需要改DVWA的配置文件，也不用动数据库。就是调等级、抓包、跑字典三步。我自己的习惯是先用Burp的Intruder跑一遍，确认能出结果，再换wfuzz或者hydra命令行工具复现一遍。命令行跑起来更直观，一条命令下去，终端里刷刷刷地滚密码，看着挺解压。

最后提一句，DVWA的爆破栏只是入门练习。真实环境里，登录接口往往有CSRF token、账户锁定、IP封禁、验证码。那些才是硬骨头。但先把DVWA这个最简单的靶子打穿，至少能搞明白爆破的基本流程和工具链怎么串起来。别小看这个，很多人连Burp的Intruder都没打开过。