dvwa账号密码

DVWA的账号默认账号是admin，密码是密码password。这个组合在GitHub的账号官方文档里写得明明白白，但每年仍有大量新手在登录页面反复试错，密码最后跑去论坛发帖问“为什么进不去”。账号我见过一个安全培训班的密码学员，折腾了四十分钟，账号把admin、密码root、账号test全试了一遍，密码密码从123456猜到admin123，账号就是密码没试password。他后来跟我说，账号总觉得“password”太像占位符，密码不像真密码。账号

这恰恰是DVWA的一个微妙之处。它故意用最弱的凭据，因为整个环境就是让你拿来练手的。登录之后第一件事通常是去DVWA Security页面把难度调到Low，否则很多漏洞根本触发不了。默认是impossible，你点SQL Injection会发现输入框直接把你拦下来，不是代码写得好，是难度设置没对。这个细节新手很容易忽略，然后误以为自己的注入语句有问题。

数据库那边还有一层。DVWA的MySQL里有个users表，存着五个用户：admin、gordonb、1337、pablo、smithy。密码字段是MD5哈希，admin对应的是5f4dcc3b5aa765d61d8327deb882cf99——就是“password”的MD5值。其他几个分别是abc123、charley、letmein、password。这些在源码的db/dvwa.sql里都能翻到。有人拿这个表去练SQL注入的union查询，把哈希拖出来扔进cmd5.com，秒解。这算是最基础的“实战”体验。

改密码这件事，DVWA本身没有提供修改界面。你得进phpMyAdmin，或者直接连MySQL改users表。我习惯用docker跑DVWA，容器里连mysql -u root -p，密码是p@ssw0rd，然后update users set password=md5('新密码') where user='admin'。注意DVWA的登录逻辑是先取哈希再比对，所以直接存明文会登不上去。有人图省事把password字段改成明文“123456”，结果登录失败，回头骂DVWA有bug——其实是你自己没看源码。

还有一个坑：DVWA的登录页面有brute force防护，但只在难度为Medium以上才生效。Low难度下，你用Burp Suite跑字典，几百次请求都不会被锁。所以拿默认密码练爆破的人，经常误以为自己的字典太弱，其实是难度没调。反过来，如果你把难度设成High，登录失败三次就会延迟，这时候再跑字典就慢得离谱。这个设计挺鸡贼的，它逼你去理解“安全控制”和“攻击成本”之间的关系。

我自己的习惯是，每次重建DVWA容器后，先登进去把安全级别改成Low，然后立刻去SQL Injection页面输一个1，看返回什么。如果返回正常用户信息，说明环境没问题，可以开始折腾。如果返回空白或者报错，多半是数据库没初始化好，得去setup.php点一下Create/Reset Database。那个按钮点完会清空所有数据，包括你改过的密码，所以别在练到一半的时候手贱去点。

最后说个真事。有个朋友在公网IP上开了DVWA，没改默认密码，也没设防火墙。三天后我发现他的数据库里多了一个用户，叫“hacker”，密码哈希是空的。他压根不知道这事，直到我截图给他看。DVWA的默认凭据是公开知识，任何扫描器都能识别。你拿它练手没问题，但别把它暴露在公网。本地虚拟机或者docker的internal网络，才是它该待的地方。