DVWA（Damn Vulnerable Web Application）就是搭建一个故意留满漏洞的PHP网站。你想练SQL注入、靶场XSS、搭建文件上传，靶场它全给你准备好了。搭建搭起来也不费劲，靶场一台能跑PHP和MySQL的搭建机器就行。下面我按实际操作的靶场顺序，把整个过程拆开说。搭建

先搞定运行环境

Windows上最省事的靶场是装phpStudy或者XAMPP。phpStudy一键启动Apache和MySQL，搭建省得你单独配。靶场XAMPP也类似，搭建安装完打开控制面板，靶场把Apache和MySQL两个服务点成绿色就行。搭建Mac用户用MAMP，Linux用户直接apt install apache2 mysql-server php，再装个php-mysql扩展。

这里有个小坑：PHP版本别太高。DVWA对PHP 8.x的兼容性一般，PHP 7.4是最稳的。如果你用phpStudy，在软件里切换一下版本就行。另外确认一下php.ini里allow_url_include和allow_url_fopen是打开的，不然后面有些模块会报错。

下载DVWA并放到网站根目录

去GitHub上找digining/dvwa，直接下zip包。解压后把整个文件夹丢到网站根目录。phpStudy的根目录一般是WWW，XAMPP是htdocs，Linux是/var/www/html。文件夹名字改成dvwa，方便访问。

权限方面，Linux下要给dvwa目录写权限，因为DVWA要写配置文件。执行chmod -R 777 /var/www/html/dvwa，Windows下一般不用管。

建数据库和改配置

打开浏览器进phpMyAdmin，或者用命令行登录MySQL。新建一个数据库，名字叫dvwa，字符集选utf8mb4。不用建表，DVWA自己会建。

接着去dvwa/config目录，把config.inc.php.dist复制一份改名为config.inc.php。用编辑器打开，找到这几行：

$_DVWA[ 'db_server' ] = '127.0.0.1'; $_DVWA[ 'db_database' ] = 'dvwa'; $_DVWA[ 'db_user' ] = 'root'; $_DVWA[ 'db_password' ] = 'p@ssw0rd';

把db_password改成你MySQL的实际密码。db_user如果是root就保持不动。另外找到recaptcha那两行，把公钥和私钥都留空，不然登录页面会一直提示验证码错误。

跑安装脚本

浏览器访问 http://localhost/dvwa/setup.php。页面会列出各项检查结果，绿色pass就行。如果看到红色fail，根据提示去改php.ini或者给目录加权限。

拉到最下面点“Create / Reset Database”按钮。它会自动建表并插入默认数据。成功后跳转到登录页，默认账号admin，密码password。登录进去就能看到左侧的漏洞菜单了。

几个容易卡住的地方

第一，MySQL 8.0的认证插件变了，DVWA可能连不上。解决办法是在MySQL里执行：ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '你的密码'; 然后flush privileges。

第二，如果setup页面一直提示“Could not connect to the database”，检查config.inc.php里的db_server。有时候写localhost不行，改成127.0.0.1反而通了，这跟socket连接方式有关。

第三，DVWA的难度等级在登录后的“DVWA Security”里调。默认是low，想练高级技巧就切到medium或high。不同等级下同一个漏洞的过滤方式不一样，建议从low开始，逐个模块过一遍。

搭好之后别放到公网上。这东西浑身是洞，谁扫到都能进来。本地虚拟机或者内网环境里玩玩就行。我一般用VMware装个Ubuntu Server，配好之后打个快照，玩坏了直接回滚，比重新搭省事得多。