学习渗透测试，特别是 Web 渗透，最头疼的无疑就是寻找靶机环境，通常是不同的漏洞需要找不同的靶机源码，而不同的源码通常 Web 架构又不一样，所以要找到一套能够练习所有 Web 渗透技巧的靶机环境，经常需要搭建 N 个 Web站点，无疑大大提高了学习的入门门槛。
DVMA简介
DVWA（Damn Vulnerable Web Application）是一个用来进行安全脆弱性鉴定的 PHP/MySQL Web 应用，旨在为安全专业人员测试自己的专业技能和工具提供合法的环境，帮助web开发者更好的理解web应用安全防范的过程。
DVWA 一共包含了十个攻击模块，分别是： Brute Force（暴力破解）、 Command Injection（命令行注入）、 CSRF（跨站请求伪造）、 File Inclusion（文件包含）、 File Upload（文件上传）、 Insecure CAPTCHA （不安全的验证码）、 SQL Injection（SQL注入）、 SQL Injection（Blind）（SQL盲注）、 XSS（Reflected）（反射型跨站脚本）、 XSS（Stored）（存储型跨站脚本）。包含了 OWASP TOP10的所有攻击漏洞的练习环境，一站式解决所有 Web 渗透的学习环境。
另外， DVWA还可以手动调整靶机源码的安全级别，分别为 Low， Medium， High， Impossible，级别越高，安全防护越严格，渗透难度越大。一般 Low级别基本没有做防护或者只是最简单的防护，很容易就能够渗透成功；而 Medium会使用到一些非常粗糙的防护，需要使用者懂得如何去绕过防护措施； High级别的防护则会大大提高防护级别，一般 High级别的防护需要经验非常丰富才能成功渗透；最后 Impossible基本是不可能渗透成功的，所以 Impossible的源码一般可以被参考作为生产环境 Web 防护的最佳手段 。
DVWA 安装
安装 phpstudy
下载 phpstudy最新版（根据操作系统选择 32 位或者 64 位），下载地址：
下载之后，就是傻瓜式下一步下一步。特别注意路径中不能包含有 中文字符。安装好以后启动 Apache， 默认端口 80。
浏览器输入
http://localhost/即可访问， 看到”站点创建成功”， 即代表 Apache 安装启动成功，那么运PHP环境就已经准备好了。
下载并解压DVMA
把下载解压后的代码放在 PHPStudy 的 WWW 路径下。如下图：
注意：把 DVWA 文件夹放在 WWW 下面，不能再嵌套文件夹，也不能直接把代码文件放在 WWW 目录下
添加网站
打开 phpstudy，添加网站。这一步除了填写域名，其他的都不用改。域名跟上一步的文件夹名字一致，会自动填充根目录。
部署成功以后 Apache 会自动重启，访问地址：http://localhost/dvwa 或者：http://dvwa/
初始化数据库
修改配置文件： WWW\DVWA\config\config.inc.php
如果没有这个文件，把 config.inc.php.dist 复制一份，改名为config.inc.php
修改 IP、库名（默认 dvwa 不用改）、用户名、密码、端口
打开首页
http://localhost/dvwa
点击最下方的 Create /Reset Database 初始化数据库
登录
初始化以后可以登录， http://localhost/dvwa
默认用户名和密码是 admin / passoword
设置安全级别
在左下方 Security 菜单设置安全级别，不同安全级别的生效代码不一样，选择以后 submit
写在最后
创作不易，如果觉得内容对你有所帮助，麻烦给个小爱心支持一下，你的支持是我坚持创作的最大动力！如果有错误或者其他问题欢迎在评论去留言。更多内容可以关注我的个人公众号”攻城狮成长日记”。
Original: https://www.cnblogs.com/alanlin/p/16502330.html
Author: 北根娃
Title: 看完这个，还不会DVMA，请你吃瓜
原创文章受到原创版权保护。转载请注明出处：https://www.johngo689.com/644213/
转载文章受原作者版权保护。转载请注明原作者出处！