web渗透环境搭建

装完 Kali 第一件事不是透环急着扫站，是境搭建把网络模式捋清楚。我见过太多人卡在“为什么虚拟机能 ping 通外网却访问不了靶场”这种问题上，透环折腾一整天。境搭建VMware 里默认的透环 NAT 模式，虚拟机走的境搭建是宿主机网络，靶机如果是透环本机另一台虚拟机，两者不在同一网段，境搭建扫都扫不到。透环桥接模式更省事——虚拟机和物理机平起平坐，境搭建各拿一个路由器分配的透环 IP，互相直接通信。境搭建我自己的透环习惯是：攻击机用桥接，靶场也桥接，境搭建宿主机该干嘛干嘛，透环互不干扰。

靶场的选择看你想练什么。DVWA 适合入门，SQL 注入、XSS、文件包含这些经典漏洞都有，PHP 写的，部署简单到把源码丢进 /var/www/html 就行。Pikachu 是国内团队做的，漏洞覆盖面更广，中文界面看着不费劲。如果想练真实点的场景，VulnHub 上下载 OVA 镜像直接导入 VMware，开机就能打，不用配环境。WebGoat 偏教学，每个漏洞配讲解，适合系统性过一遍 OWASP Top 10。

数据库这块容易被忽略。DVWA 要连 MySQL，Kali 自带的 MariaDB 默认没启动，service mysql start 之后还得进 mysql_secure_installation 设 root 密码。DVWA 的配置文件在 config/config.inc.php，把数据库密码填对，不然页面直接报连接错误。有个坑：PHP 7 以后 MySQL 扩展变了，老教程里的 mysql_connect 函数用不了，得确认 DVWA 版本是否适配当前 PHP。

浏览器代理别用插件，直接命令行起 Burp 更干净。Kali 里 burpsuite 启动后，Firefox 手动设代理 127.0.0.1:8080，导入 Burp 的 CA 证书到浏览器信任库。这一步不做，HTTPS 站点全是证书错误，抓包抓个寂寞。我习惯把 Burp 的代理监听设成 All interfaces，这样虚拟机里的浏览器和宿主机上的工具都能走同一个代理，省得来回切。

文件权限是个隐形炸弹。用 chown -R www-data:www-data /var/www/html 把网站目录交给 web 服务用户，不然上传的 webshell 没执行权限，你以为漏洞没打通，其实是权限卡住了。SELinux 在 CentOS 系靶机上经常拦 webshell，setenforce 0 临时关掉能省不少事，生产环境当然不能这么干，但靶场里先跑通再说。

网络连通性验证别只靠 ping。ICMP 被防火墙拦了太常见，用 curl -I http://靶机IP 看 HTTP 响应头更直接。如果 curl 返回 Connection refused，检查 web 服务起没起；返回超时，查网络模式；返回 403，查目录权限。这套排查顺序比瞎猜快得多。

最后说个真事。有次帮人看环境，DVWA 页面能打开但登录一直失败，数据库配置、PHP 版本、权限全查了没问题。最后发现是浏览器缓存了旧的重定向，清掉 cookie 和缓存立马正常。环境搭建这事，八成问题出在网络和权限，剩下一半是缓存和版本兼容——对，加起来超过十成，因为有些坑是叠加的。