dvwa靶场搭建过程描述

下载DVWA的靶场压缩包，解压后丢进phpstudy的搭建WWW目录，这就算完成了一半。过程剩下的描述活全在配置文件上——你得改`config/config.inc.php`，把数据库密码从默认的靶场`p@ssw0rd`换成你本地MySQL的真实密码。我第一次搭的搭建时候卡在这步半小时，死活连不上数据库，过程后来才发现phpstudy的描述MySQL密码早被我改过了，DVWA还傻乎乎地用着出厂设置。靶场

打开浏览器输入`localhost/DVWA`，搭建看到登录页就成功了一大半。过程默认账号`admin`，描述密码`password`，靶场进去第一件事不是搭建到处点，而是过程先点左侧的`Setup/Reset Database`。这步关键，它会自动创建数据库并写入初始数据。要是这页显示红色报错，多半是PHP版本太高或太低——DVWA对PHP版本挑剔得很，7.4以上容易报错，5.x又太老跑不动。我用的是PHP 7.3，稳稳当当。

真正动手测漏洞前，先把安全等级调低。DVWA右上角有个`DVWA Security`选项，默认是`impossible`，那等于什么都没开。改成`low`，SQL注入、XSS、文件上传这些漏洞才会露出真面目。别急着跳到`medium`或`high`，先拿low级练手，看明白攻击流量长什么样，再层层加码看防护怎么拦。

有个坑必须提：Windows下用phpstudy自带MySQL，有时候DVWA会连不上，报`Access denied for user`。这时候别慌，八成是MySQL 8.0的认证插件问题。解法很简单，命令行里执行`ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '你的密码';`，刷新权限，再回去刷新DVWA设置页就好了。

全部搞定后，你会看到左侧菜单多出十几个模块——`SQL Injection`、`Command Injection`、`CSRF`、`XSS`这些。随便点开一个，比如SQL注入那页，输入框里填`1' OR '1'='1`，点提交，整张用户表就吐出来了。那一刻你才真正理解什么叫“漏洞不是传说，是代码里实实在在的疏忽”。

搭建过程总共不超过二十分钟，但别指望一次成功。我见过有人卡在PHP版本兼容上，有人卡在数据库密码上，还有人卡在浏览器缓存上——改完配置文件记得硬刷新（Ctrl+F5），不然老页面还会带着旧配置跑。要是你用的是Mac或Linux，路径和权限设置会稍有不同，但核心逻辑一样：解压、改配置、初始化数据库、调低安全级。就这么简单，剩下的都是你亲手去“打”出来的经验。