DVWA靶机搭建：从下载到getshell的靶机全过程

DVWA（Damn Vulnerable Web Application）是个好东西。它就像个故意摔断腿的搭建运动员，浑身是靶机伤，专供你练习包扎。搭建别指望它能帮你通过等保测试，靶机但练手绝对够格。搭建我上周刚在虚拟机里搭完一套，靶机踩了几个坑，搭建写出来给你避雷。靶机

先别急着下载，搭建环境准备是靶机第一步。DVWA是搭建个PHP应用，所以你得先有个LAMP或LNMP环境。靶机我用的搭建Ubuntu 22.04 Server版，干净利落。靶机装Apache、MySQL、PHP——注意PHP版本别太新，8.1以上有些老靶场会报错，我用的7.4。一条命令的事：sudo apt install apache2 mysql-server php7.4 php7.4-mysql php7.4-gd php7.4-xml。装完顺手启动服务，systemctl start apache2 mysql。

接下来是下载DVWA。从GitHub上clone最方便：git clone https://github.com/digininja/DVWA.git。然后把它挪到Apache的web目录下，我习惯放/var/www/html/dvwa。注意权限，chmod -R 755，否则网页会白屏。这里有个小坑——默认的config/config.inc.php.dist要改名成config.inc.php，不然后面配置界面直接报错。

数据库这块，DVWA自带的初始化脚本能省不少事。浏览器访问http://你的IP/dvwa/setup.php，点一下"Create/Reset Database"按钮，它自动建库建表。但前提是你得先把MySQL的root密码设好，或者干脆在配置文件里改成你已有的账号。默认配置里写的是root和空密码，我建议改成强密码，省得后面连不上。改完配置文件记得重启Apache：systemctl restart apache2。

如果你跟我一样用虚拟机，别忘了网络模式。NAT模式下宿主机能访问，但其他机器不行。想从物理机直接打靶，改成桥接模式，或者干脆在虚拟机里用curl测试。我第一次搭完，宿主机死活访问不了，折腾半天发现是防火墙没放行80端口。sudo ufw allow 80，搞定。

登录页默认账号是admin，密码password。进去以后把安全级别调到low，就可以开始折腾SQL注入、XSS那些经典漏洞了。说实话，第一次看到那个简单的登录框能直接输入' OR 1=1 -- 绕过，还是有点震撼的——这玩意儿就是活生生的教材。

最后说句实在话，DVWA的搭建门槛不高，但它的价值在于让你在合法环境里犯错。别拿它去搞真实站点，那性质就变了。搭好以后，建议配合Burp Suite和sqlmap一起用，效果翻倍。要是中途卡住，多半是PHP扩展没装全，检查一下gd、curl、mysqli这些模块，基本能解决九成问题。