在实际 Web 安全学习和渗透测试技能验证中一个能够安全、合法地模拟真实漏洞的环境至关重要。DVWADamn Vulnerable Web Application正是这样一个被广泛使用的 Web 漏洞综合靶场。它集成了 SQL 注入、XSS、文件上传、命令执行等十余种常见 Web 漏洞且每个漏洞都设置了从低到高的安全等级非常适合安全初学者理解漏洞原理、安全开发人员测试防护代码以及安全爱好者进行实战练习。然而很多学习者在第一步——环境搭建上就遇到了阻碍PHP版本、数据库配置、文件权限等问题层出不穷导致学习热情在安装阶段就被消耗殆尽。本文将提供一个详尽、可复现的 DVWA 靶场安装指南。我们将从环境需求分析开始逐步完成 PHP 集成环境配置、DVWA 源码部署、数据库初始化及关键配置文件调整。整个过程会解释每一步的操作目的和潜在问题并提供对应的排查方法。完成部署后你将拥有一个在本地完全受控的漏洞测试环境可以安全地进行各种攻击手法的学习和验证而无需担心法律风险或影响真实系统。1. 理解 DVWA 的运行环境与核心组件在动手安装之前必须先理解 DVWA 作为一个 PHP 应用程序其正常运行所依赖的软件栈。这有助于在遇到问题时能够快速定位是哪个环节出了差错。DVWA 本质上是一个使用 PHP 编写、依赖 MySQL/MariaDB 数据库、并通过 Web 服务器如 Apache 或 Nginx提供服务的 Web 应用。它的核心是一个展示了各种不安全代码模式的程序集合。因此一个典型的 LAMPLinux Apache MySQL PHP或 WAMPWindows Apache MySQL PHP环境是其运行的基础。1.1 核心依赖组件及其作用Web 服务器 (Apache/Nginx)负责接收用户的 HTTP 请求并将 PHP 文件的执行任务交给 PHP 处理器最后将生成的 HTML 响应返回给用户浏览器。DVWA 官方推荐使用 Apache因为其.htaccess文件配置更为简便。PHP 处理器解析并执行.php文件中的代码与 Web 服务器和数据库进行交互。DVWA 对 PHP 版本有一定要求通常需要 PHP 5.4 或 7.x并且需要开启特定的扩展。数据库 (MySQL/MariaDB)存储 DVWA 应用的数据例如用户凭证、模拟的博客文章、日志等。DVWA 在首次安装时会自动创建数据库表并插入初始数据。DVWA 源码包含漏洞页面的 PHP 代码、前端资源JS/CSS、配置文件以及用于初始化的 SQL 脚本。1.2 关键配置文件config/config.inc.php这是 DVWA 的“大脑”。它定义了应用如何连接数据库、设置安全级别、以及一些功能开关。安装过程中大部分问题都源于此文件配置不正确。其主要配置项包括$_DVWA[ db_server ]数据库服务器地址本地环境通常是127.0.0.1或localhost。$_DVWA[ db_database ]DVWA 使用的数据库名默认为dvwa。$_DVWA[ db_user ]和$_DVWA[ db_password ]连接数据库的用户名和密码。$_DVWA[ default_security_level ]默认安全等级low, medium, high, impossible。$_DVWA[ recaptcha_public_key ]和$_DVWA[ recaptcha_private_key ]用于 reCAPTCHA 功能的密钥可选。2. 环境准备与集成软件栈选择为了简化安装过程避免单独配置 Apache、PHP、MySQL 带来的兼容性问题强烈建议使用集成的开发环境套件。以下是在不同操作系统下的推荐方案操作系统推荐集成环境备注WindowsXAMPP最流行图形化界面管理包含 Apache, MariaDB, PHP, Perl。macOSMAMP为 macOS 优化安装管理简单。LinuxXAMPP for Linux 或系统包管理器Ubuntu/Debian 可使用apt安装apache2,mysql-server,php等。通用跨平台Docker通过容器化部署环境隔离最干净但需要一定的 Docker 基础。注意本文将以Windows 系统下的 XAMPP作为演示环境因为这是绝大多数初学者的选择。其他环境的安装逻辑相通主要区别在于安装包和文件路径。2.1 安装 XAMPP下载访问 Apache Friends 官网下载适用于你操作系统的最新版 XAMPP。建议选择 PHP 版本为 7.x 的安装包兼容性更好。安装运行安装程序。在选择安装组件时确保Apache、MySQL、PHP 和 phpMyAdmin被选中。安装路径建议选择C:\xampp默认或D:\xampp避免包含中文或空格的路径。启动服务安装完成后打开 XAMPP 控制面板。点击 Apache 和 MySQL 模块对应的Start按钮。如果启动成功按钮旁的背景会变成绿色并显示 PID进程ID。常见问题1端口冲突。如果 Apache 启动失败端口 80 或 443 被占用可以点击 Apache 行的Config按钮选择httpd.conf修改Listen 80为Listen 8080同时修改ServerName localhost:80为ServerName localhost:8080。之后访问地址需改为http://localhost:8080。常见问题2MySQL 启动失败。可能是端口 3306 被占用或之前安装的 MySQL 服务未卸载干净。可以尝试修改my.ini中的端口或使用系统服务管理器停止冲突的 MySQL 服务。2.2 验证基础环境打开浏览器访问http://localhost如果修改了端口则访问http://localhost:8080。你应该能看到 XAMPP 的欢迎页面。点击页面上的 “phpMyAdmin” 链接或直接访问http://localhost/phpmyadmin。使用用户名root密码留空XAMPP 默认空密码登录。如果能成功进入 phpMyAdmin 管理界面说明 MySQL 服务运行正常且 PHP 能与之交互。3. 部署 DVWA 源码并配置3.1 获取并放置 DVWA 源码下载 DVWA从 DVWA 的官方 GitHub 仓库下载最新源码ZIP 包。确保来源可靠。解压与重命名将下载的 ZIP 包解压。你会得到一个名为DVWA-master的文件夹。将其重命名为dvwa全小写避免潜在问题。放置到 Web 根目录将dvwa文件夹整体复制到 XAMPP 的htdocs目录下。完整路径通常为C:\xampp\htdocs\dvwa。此时通过浏览器访问http://localhost/dvwa应该能看到 DVWA 的安装引导页面如果显示文件列表或错误请继续下一步配置。3.2 配置 PHP 设置以满足 DVWA 要求DVWA 需要一些特定的 PHP 设置才能完全正常工作。我们需要修改 XAMPP 中的php.ini文件。定位php.ini在 XAMPP 控制面板点击 Apache 行的Config按钮选择PHP (php.ini)。这会用文本编辑器打开配置文件。修改关键配置使用编辑器的查找功能CtrlF找到以下行并进行修改; 允许包含远程文件File Inclusion 漏洞需要 allow_url_include On ; 允许注册全局变量某些老版本漏洞模拟需要但生产环境绝不要开启 register_globals Off ; 设置时区避免 PHP 报错 date.timezone Asia/Shanghai注意allow_url_include On是安全风险设置仅在本地测试环境中为学习目的开启。在生产服务器上必须保持Off。保存并重启保存php.ini文件然后在 XAMPP 控制面板中重启 Apache 服务使配置生效。3.3 配置 DVWA 连接数据库这是最关键的一步。我们需要复制模板配置文件并根据本地 MySQL 设置进行调整。找到配置文件进入C:\xampp\htdocs\dvwa\config目录。你会看到两个文件config.inc.php.dist这是配置模板。config.inc.php这是实际生效的配置文件初始不存在。创建配置文件将config.inc.php.dist复制一份并重命名为config.inc.php。编辑配置文件用文本编辑器如 Notepad打开config.inc.php。找到以下关键配置段# 数据库设置 $_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] pssw0rd;db_server: 保持127.0.0.1。db_database: 保持dvwa。db_user: XAMPP 的 MySQL 默认用户是root。db_password:这是最常见的错误源。XAMPP 新版本默认 root 密码可能为空也可能有预设密码。你需要根据实际情况修改如果 phpMyAdmin 可以用root和空密码登录则这里设为两个单引号中间无空格。如果你在安装 XAMPP 或后续设置过密码则填入你的密码例如your_password。可选配置你可以修改$_DVWA[ default_security_level ]来设定首次访问时的默认难度low,medium,high,impossible。对于初学者建议设为low。4. 初始化数据库与完成安装现在所有组件都已就位我们需要让 DVWA 创建它自己的数据库和表。访问安装页面在浏览器中访问http://localhost/dvwa/setup.php。这是 DVWA 的安装和重置页面。检查环境页面顶部会显示一个表格列出所有环境要求如 PHP 版本、MySQL 连接、PHP 扩展等。所有项目应该显示绿色 “OK”。如果有红色 “ERROR”需要根据提示返回前面步骤检查配置最常见的是数据库密码错误或allow_url_include未开启。创建数据库在页面中找到 “Create / Reset Database” 按钮并点击。DVWA 会执行以下操作尝试连接你在config.inc.php中配置的 MySQL。创建一个名为dvwa的数据库如果不存在。在dvwa数据库中运行./dvwa/sql/目录下的 SQL 文件创建所需的数据表如users,guestbook等并插入默认数据包括默认用户admin/password。验证结果如果成功页面会显示 “Setup Successful”。此时你可以点击页面底部的 “Login” 链接或直接访问http://localhost/dvwa进入登录页面。4.1 首次登录与安全等级设置使用默认凭证登录用户名:admin密码:password登录后你会在左侧看到 DVWA 的漏洞菜单如 Brute Force, Command Injection, SQL Injection 等。在页面上方你可以看到一个下拉菜单用于选择 “Security Level”。将其设置为Low。这个设置会直接影响每个漏洞页面的后端代码Low 级别代表最不安全、最容易攻击的状态适合学习漏洞原理。5. 安装过程常见问题与排查即使按照教程操作也可能遇到问题。以下是按出现频率排序的常见问题及解决方法。问题现象可能原因检查与解决步骤访问localhost/dvwa显示文件列表或 4041. Apache 未正确解析 PHP。2. DVWA 未放在htdocs根目录下。3. 目录名错误。1. 确认 Apache 服务已启动绿色。2. 确认路径是C:\xampp\htdocs\dvwa\。3. 访问localhost看 XAMPP 首页是否正常以验证 Apache 和 PHP 基础功能。setup.php页面显示数据库连接错误1.config.inc.php中密码错误。2. MySQL 服务未启动。3. 防火墙阻止了连接。1. 用 phpMyAdmin (root/你的密码) 测试登录验证密码。2. 检查 XAMPP 控制面板 MySQL 是否为绿色。3. 确认$_DVWA[ db_server ]为127.0.0.1。点击 “Create / Reset Database” 无反应或失败1. MySQL 用户权限不足。2.config.inc.php文件权限问题Linux/Mac。3. SQL 文件执行错误。1. 确保使用root用户或具有创建数据库权限的用户。2. 查看浏览器开发者工具F12控制台或网络标签页是否有错误信息。3. 可以手动操作在 phpMyAdmin 中新建数据库dvwa然后选择该数据库在 “SQL” 标签页中导入dvwa/sql/下的 SQL 文件。某些漏洞模块无法工作如 File Upload1. PHP 配置未生效。2. 文件上传目录权限不足。1. 在setup.php页面确认allow_url_include和allow_url_fopen是否为 ON。2. 检查dvwa/hackable/uploads/目录确保 Web 服务器如www-data用户或apache用户有写入权限。在 Windows 上通常不需要特别设置。登录后安全等级无法切换或保持为 Impossible1. PHP 会话问题。2. 浏览器 Cookie 或缓存问题。1. 尝试清除浏览器 Cookie 和缓存重新登录。2. 检查dvwa/config/config.inc.php中default_security_level的设置。页面样式丢失CSS/JS 加载失败1. 文件路径引用错误。2..htaccess文件未生效Apache 需开启mod_rewrite。1. 查看页面源代码检查 CSS/JS 文件的链接是否正确指向dvwa/目录下。2. 在 XAMPP 中Apache 的mod_rewrite模块默认是开启的。如果未开启需编辑httpd.conf取消注释LoadModule rewrite_module modules/mod_rewrite.so。6. 安全使用建议与最佳实践DVWA 是一个故意不安全的应用程序因此在安装和使用时必须遵循严格的安全准则防止其成为真实的安全威胁。绝对禁止公网访问仅在本地主机localhost或127.0.0.1上运行 DVWA。切勿将其部署在具有公网 IP 的服务器、云主机或虚拟机上除非你进行了严格的网络隔离和访问控制。在 XAMPP 的httpd.conf中可以绑定到127.0.0.1而非0.0.0.0。使用虚拟化或容器隔离更安全的方式是在虚拟机如 VMware, VirtualBox或 Docker 容器内运行整个 XAMPP DVWA 环境。这样即使环境被“攻破”也不会影响宿主机。修改默认凭证安装完成后立即登录 DVWA 并修改默认的admin用户密码。你还可以在 phpMyAdmin 中直接修改dvwa数据库users表的密码哈希值。按需启停服务学习结束后及时在 XAMPP 控制面板停止 Apache 和 MySQL 服务避免不必要的资源占用和潜在风险。理解配置的风险记住我们在php.ini中开启了allow_url_include。这仅用于本地学习。任何从该环境产生的配置文件或代码如果迁移到其他环境必须将此设置改回Off。结合源码学习DVWA 的最大价值在于其源代码。在测试漏洞时同时查看对应安全等级low,medium,high,impossible的 PHP 源码对比修复前后的代码差异这是理解安全编程思想最直接的方式。完成以上所有步骤后你就拥有了一个功能完整的本地 Web 漏洞靶场。接下来可以从 “Brute Force”暴力破解或 “SQL Injection”SQL注入等基础漏洞开始逐个模块进行学习和练习。每个漏洞模块都配有简单的说明和视图帮助你理解攻击向量和防御方法。始终牢记在这个受控环境中获得的所有技能和工具都必须以合法、合规和道德的方式应用于授权测试中。
