DVWA靶场环境搭建指南：从零部署Web漏洞测试平台

在实际 Web 安全学习和渗透测试技能验证中，一个能够安全、合法地模拟真实漏洞的环境至关重要。DVWA（Damn Vulnerable Web Application）正是这样一个被广泛使用的 Web 漏洞综合靶场。它集成了 SQL 注入、XSS、文件上传、命令执行等十余种常见 Web 漏洞，且每个漏洞都设置了从低到高的安全等级，非常适合安全初学者理解漏洞原理、安全开发人员测试防护代码，以及安全爱好者进行实战练习。然而，很多学习者在第一步——环境搭建上就遇到了阻碍，PHP版本、数据库配置、文件权限等问题层出不穷，导致学习热情在安装阶段就被消耗殆尽。

本文将提供一个详尽、可复现的 DVWA 靶场安装指南。我们将从环境需求分析开始，逐步完成 PHP 集成环境配置、DVWA 源码部署、数据库初始化及关键配置文件调整。整个过程会解释每一步的操作目的和潜在问题，并提供对应的排查方法。完成部署后，你将拥有一个在本地完全受控的漏洞测试环境，可以安全地进行各种攻击手法的学习和验证，而无需担心法律风险或影响真实系统。

1. 理解 DVWA 的运行环境与核心组件

在动手安装之前，必须先理解 DVWA 作为一个 PHP 应用程序，其正常运行所依赖的软件栈。这有助于在遇到问题时，能够快速定位是哪个环节出了差错。

DVWA 本质上是一个使用 PHP 编写、依赖 MySQL/MariaDB 数据库、并通过 Web 服务器（如 Apache 或 Nginx）提供服务的 Web 应用。它的核心是一个展示了各种不安全代码模式的程序集合。因此，一个典型的 LAMP（Linux + Apache + MySQL + PHP）或 WAMP（Windows + Apache + MySQL + PHP）环境是其运行的基础。

1.1 核心依赖组件及其作用

• Web 服务器 (Apache/Nginx)：负责接收用户的 HTTP 请求，并将 PHP 文件的执行任务交给 PHP 处理器，最后将生成的 HTML 响应返回给用户浏览器。DVWA 官方推荐使用 Apache，因为其.htaccess文件配置更为简便。
• PHP 处理器：解析并执行.php文件中的代码，与 Web 服务器和数据库进行交互。DVWA 对 PHP 版本有一定要求，通常需要 PHP 5.4+ 或 7.x，并且需要开启特定的扩展。
• 数据库 (MySQL/MariaDB)：存储 DVWA 应用的数据，例如用户凭证、模拟的博客文章、日志等。DVWA 在首次安装时会自动创建数据库表并插入初始数据。
• DVWA 源码：包含漏洞页面的 PHP 代码、前端资源（JS/CSS）、配置文件以及用于初始化的 SQL 脚本。

1.2 关键配置文件：config/config.inc.php

这是 DVWA 的“大脑”。它定义了应用如何连接数据库、设置安全级别、以及一些功能开关。安装过程中大部分问题都源于此文件配置不正确。其主要配置项包括：

• $_DVWA[ 'db_server' ]：数据库服务器地址，本地环境通常是127.0.0.1或localhost。
• $_DVWA[ 'db_database' ]：DVWA 使用的数据库名，默认为dvwa。
• $_DVWA[ 'db_user' ]和$_DVWA[ 'db_password' ]：连接数据库的用户名和密码。
• $_DVWA[ 'default_security_level' ]：默认安全等级（low, medium, high, impossible）。
• $_DVWA[ 'recaptcha_public_key' ]和$_DVWA[ 'recaptcha_private_key' ]：用于 reCAPTCHA 功能的密钥（可选）。

2. 环境准备与集成软件栈选择

为了简化安装过程，避免单独配置 Apache、PHP、MySQL 带来的兼容性问题，强烈建议使用集成的开发环境套件。以下是在不同操作系统下的推荐方案：

注意：本文将以Windows 系统下的 XAMPP作为演示环境，因为这是绝大多数初学者的选择。其他环境的安装逻辑相通，主要区别在于安装包和文件路径。

2.1 安装 XAMPP

1. 下载：访问 Apache Friends 官网，下载适用于你操作系统的最新版 XAMPP。建议选择 PHP 版本为 7.x 的安装包，兼容性更好。
2. 安装：运行安装程序。在选择安装组件时，确保Apache、MySQL、PHP 和 phpMyAdmin被选中。安装路径建议选择C:\xampp（默认）或D:\xampp，避免包含中文或空格的路径。
3. 启动服务：安装完成后，打开 XAMPP 控制面板。点击 Apache 和 MySQL 模块对应的Start按钮。如果启动成功，按钮旁的背景会变成绿色，并显示 PID（进程ID）。
   • 常见问题1：端口冲突。如果 Apache 启动失败（端口 80 或 443 被占用），可以点击 Apache 行的Config按钮，选择httpd.conf，修改Listen 80为Listen 8080，同时修改ServerName localhost:80为ServerName localhost:8080。之后访问地址需改为http://localhost:8080。
   • 常见问题2：MySQL 启动失败。可能是端口 3306 被占用，或之前安装的 MySQL 服务未卸载干净。可以尝试修改my.ini中的端口，或使用系统服务管理器停止冲突的 MySQL 服务。

2.2 验证基础环境

1. 打开浏览器，访问http://localhost（如果修改了端口，则访问http://localhost:8080）。你应该能看到 XAMPP 的欢迎页面。
2. 点击页面上的 “phpMyAdmin” 链接，或直接访问http://localhost/phpmyadmin。使用用户名root，密码留空（XAMPP 默认空密码）登录。如果能成功进入 phpMyAdmin 管理界面，说明 MySQL 服务运行正常且 PHP 能与之交互。

3. 部署 DVWA 源码并配置

3.1 获取并放置 DVWA 源码

1. 下载 DVWA：从 DVWA 的官方 GitHub 仓库下载最新源码（ZIP 包）。确保来源可靠。
2. 解压与重命名：将下载的 ZIP 包解压。你会得到一个名为DVWA-master的文件夹。将其重命名为dvwa（全小写，避免潜在问题）。
3. 放置到 Web 根目录：将dvwa文件夹整体复制到 XAMPP 的htdocs目录下。完整路径通常为C:\xampp\htdocs\dvwa。此时，通过浏览器访问http://localhost/dvwa应该能看到 DVWA 的安装引导页面（如果显示文件列表或错误，请继续下一步配置）。

3.2 配置 PHP 设置以满足 DVWA 要求

DVWA 需要一些特定的 PHP 设置才能完全正常工作。我们需要修改 XAMPP 中的php.ini文件。

1. 定位php.ini：在 XAMPP 控制面板，点击 Apache 行的Config按钮，选择PHP (php.ini)。这会用文本编辑器打开配置文件。
2. 修改关键配置：使用编辑器的查找功能（Ctrl+F），找到以下行并进行修改：

   ; 允许包含远程文件（File Inclusion 漏洞需要） allow_url_include = On ; 允许注册全局变量（某些老版本漏洞模拟需要，但生产环境绝不要开启） register_globals = Off ; 设置时区，避免 PHP 报错 date.timezone = Asia/Shanghai

   注意：allow_url_include = On是安全风险设置，仅在本地测试环境中为学习目的开启。在生产服务器上必须保持Off。

3. 保存并重启：保存php.ini文件，然后在 XAMPP 控制面板中重启 Apache 服务，使配置生效。

3.3 配置 DVWA 连接数据库

这是最关键的一步。我们需要复制模板配置文件，并根据本地 MySQL 设置进行调整。

1. 找到配置文件：进入C:\xampp\htdocs\dvwa\config目录。你会看到两个文件：
   • config.inc.php.dist：这是配置模板。
   • config.inc.php：这是实际生效的配置文件（初始不存在）。
2. 创建配置文件：将config.inc.php.dist复制一份，并重命名为config.inc.php。
3. 编辑配置文件：用文本编辑器（如 Notepad++）打开config.inc.php。找到以下关键配置段：

   # 数据库设置 $_DVWA[ 'db_server' ] = '127.0.0.1'; $_DVWA[ 'db_database' ] = 'dvwa'; $_DVWA[ 'db_user' ] = 'root'; $_DVWA[ 'db_password' ] = 'p@ssw0rd';

   • db_server: 保持127.0.0.1。
   • db_database: 保持dvwa。
   • db_user: XAMPP 的 MySQL 默认用户是root。
   • db_password:这是最常见的错误源。XAMPP 新版本默认 root 密码可能为空，也可能有预设密码。你需要根据实际情况修改：
     • 如果 phpMyAdmin 可以用root和空密码登录，则这里设为''（两个单引号，中间无空格）。
     • 如果你在安装 XAMPP 或后续设置过密码，则填入你的密码，例如'your_password'。
4. 可选配置：你可以修改$_DVWA[ 'default_security_level' ]来设定首次访问时的默认难度（low,medium,high,impossible）。对于初学者，建议设为'low'。

4. 初始化数据库与完成安装

现在，所有组件都已就位，我们需要让 DVWA 创建它自己的数据库和表。

1. 访问安装页面：在浏览器中访问http://localhost/dvwa/setup.php。这是 DVWA 的安装和重置页面。
2. 检查环境：页面顶部会显示一个表格，列出所有环境要求（如 PHP 版本、MySQL 连接、PHP 扩展等）。所有项目应该显示绿色 “OK”。如果有红色 “ERROR”，需要根据提示返回前面步骤检查配置（最常见的是数据库密码错误或allow_url_include未开启）。
3. 创建数据库：在页面中找到 “Create / Reset Database” 按钮并点击。DVWA 会执行以下操作：
   • 尝试连接你在config.inc.php中配置的 MySQL。
   • 创建一个名为dvwa的数据库（如果不存在）。
   • 在dvwa数据库中运行./dvwa/sql/目录下的 SQL 文件，创建所需的数据表（如users,guestbook等）并插入默认数据（包括默认用户admin/password）。
4. 验证结果：如果成功，页面会显示 “Setup Successful”。此时，你可以点击页面底部的 “Login” 链接，或直接访问http://localhost/dvwa进入登录页面。

4.1 首次登录与安全等级设置

1. 使用默认凭证登录：
   • 用户名:admin
   • 密码:password
2. 登录后，你会在左侧看到 DVWA 的漏洞菜单（如 Brute Force, Command Injection, SQL Injection 等）。
3. 在页面上方，你可以看到一个下拉菜单，用于选择 “Security Level”。将其设置为Low。这个设置会直接影响每个漏洞页面的后端代码，Low 级别代表最不安全、最容易攻击的状态，适合学习漏洞原理。

5. 安装过程常见问题与排查

即使按照教程操作，也可能遇到问题。以下是按出现频率排序的常见问题及解决方法。

6. 安全使用建议与最佳实践

DVWA 是一个故意不安全的应用程序，因此在安装和使用时必须遵循严格的安全准则，防止其成为真实的安全威胁。

1. 绝对禁止公网访问：仅在本地主机（localhost或127.0.0.1）上运行 DVWA。切勿将其部署在具有公网 IP 的服务器、云主机或虚拟机上，除非你进行了严格的网络隔离和访问控制。在 XAMPP 的httpd.conf中，可以绑定到127.0.0.1而非0.0.0.0。
2. 使用虚拟化或容器隔离：更安全的方式是在虚拟机（如 VMware, VirtualBox）或 Docker 容器内运行整个 XAMPP + DVWA 环境。这样即使环境被“攻破”，也不会影响宿主机。
3. 修改默认凭证：安装完成后，立即登录 DVWA 并修改默认的admin用户密码。你还可以在 phpMyAdmin 中直接修改dvwa数据库users表的密码哈希值。
4. 按需启停服务：学习结束后，及时在 XAMPP 控制面板停止 Apache 和 MySQL 服务，避免不必要的资源占用和潜在风险。
5. 理解配置的风险：记住我们在php.ini中开启了allow_url_include。这仅用于本地学习。任何从该环境产生的配置文件或代码，如果迁移到其他环境，必须将此设置改回Off。
6. 结合源码学习：DVWA 的最大价值在于其源代码。在测试漏洞时，同时查看对应安全等级（low,medium,high,impossible）的 PHP 源码，对比修复前后的代码差异，这是理解安全编程思想最直接的方式。

完成以上所有步骤后，你就拥有了一个功能完整的本地 Web 漏洞靶场。接下来，可以从 “Brute Force”（暴力破解）或 “SQL Injection”（SQL注入）等基础漏洞开始，逐个模块进行学习和练习。每个漏洞模块都配有简单的说明和视图，帮助你理解攻击向量和防御方法。始终牢记，在这个受控环境中获得的所有技能和工具，都必须以合法、合规和道德的方式应用于授权测试中。