Kali Linux下DVWA靶场搭建与Web安全漏洞实战入门指南

1. 项目概述：为什么从DVWA开始你的渗透测试之旅？

如果你刚接触网络安全，或者对Kali Linux这个“黑客神器”充满好奇，却不知道从何下手，那么从搭建一个本地漏洞靶场开始，绝对是最高效、最安全的选择。而DVWA，正是这个领域里公认的“新手村”。这个项目标题“小白学KALI：轻松搭建DVWA网站漏洞靶场”，精准地指向了无数安全爱好者的第一个实操门槛——如何在自己的电脑上，快速、无风险地复现一个充满漏洞的网站环境，用于学习和练习。

为什么是DVWA？它的全称是Damn Vulnerable Web Application，直译过来就是“该死的脆弱Web应用”。这个名字就说明了它的核心价值：它故意设计得漏洞百出，从简单的SQL注入、跨站脚本，到文件上传、命令执行，涵盖了Web安全中最常见、最经典的漏洞类型。更重要的是，它允许你自由调整安全等级，从“毫无防护”到“有基础防护”，让你能清晰地看到不同防御措施下，攻击手法需要如何调整和绕过。对于初学者而言，这比直接去研究一个真实的、复杂的、且违法的网站要友好和安全得多。

而Kali Linux，则是进行这一切操作的“手术台”。它预装了海量的安全工具，从信息收集、漏洞扫描到渗透利用，一应俱全。很多人觉得Kali很神秘，甚至有点畏惧，但其实它的本质就是一个专门为安全测试优化的Linux发行版。通过搭建DVWA这个具体任务，你能亲手操作Kali，理解它的包管理、服务控制、网络配置等基础操作，把抽象的工具箱变成解决具体问题的趁手兵器。这个过程，能帮你快速建立信心，从“看教程”过渡到“自己动手”，为后续更深入的学习打下坚实的实操基础。

2. 环境准备：在Kali Linux上配置LAMP服务栈

在开始下载DVWA之前，我们必须先为它准备好一个“家”——一个能够运行PHP网站的环境。在Linux世界里，最经典的组合就是LAMP：Linux（操作系统，我们用的是Kali）、Apache（Web服务器）、MySQL（数据库，在Kali的新版本中通常是MariaDB）和PHP。Kali Linux默认已经安装了许多组件，但为了确保DVWA能完美运行，我们需要进行系统性的检查和配置。

2.1 更新系统与安装核心组件

首先，打开你的Kali Linux终端。无论你是实体机安装、虚拟机运行还是使用了WSL，第一步永远是确保系统是最新的。这能避免很多因软件包版本过旧导致的兼容性问题。

sudo apt update && sudo apt upgrade -y

这条命令做了两件事：apt update刷新软件包源列表，获取最新的版本信息；apt upgrade -y则自动升级所有可升级的软件包。-y参数表示自动确认，省去手动输入的麻烦。更新完成后，我们开始安装LAMP的核心组件。

sudo apt install apache2 mariadb-server mariadb-client php php-mysql libapache2-mod-php php-gd php-curl -y

这里我们详细拆解一下每个包的作用：

• apache2: Web服务器，负责处理HTTP请求，将我们的网站内容呈现给浏览器。
• mariadb-server&mariadb-client: 数据库服务器和客户端。DVWA需要用数据库来存储用户数据、登录会话等信息。MariaDB是MySQL的一个流行分支，在Kali中已作为默认替代。
• php: 服务器端脚本语言，DVWA本身是由PHP编写的。
• php-mysql: 让PHP能够连接和操作MySQL/MariaDB数据库的扩展模块，没有它，DVWA无法与数据库通信。
• libapache2-mod-php: Apache的PHP模块，确保Apache能解析和执行PHP代码。
• php-gd: PHP的图像处理库，某些功能可能会用到。
• php-curl: PHP的cURL库，用于处理URL请求，在一些高级模块中可能会被调用。

安装完成后，我们需要启动Apache和MariaDB服务，并设置它们开机自启。

sudo systemctl start apache2 sudo systemctl enable apache2 sudo systemctl start mariadb sudo systemctl enable mariadb

你可以使用sudo systemctl status apache2和sudo systemctl status mariadb来检查服务是否正在活跃运行。看到绿色的“active (running)”字样就说明成功了。

2.2 安全配置MariaDB数据库

刚安装好的MariaDB root用户是没有密码的，这存在安全风险。我们需要运行一个安全配置脚本。

sudo mysql_secure_installation

运行后，脚本会引导你完成一系列设置：

1. 输入当前root密码：直接按回车，因为初始密码为空。
2. 设置root密码：输入Y，然后为数据库的root用户设置一个强密码。请务必记住这个密码，后续配置DVWA时会用到。建议不要使用过于简单的密码。
3. 移除匿名用户：输入Y。匿名用户允许任何人无需密码登录数据库，必须移除。
4. 禁止root远程登录：输入Y。这可以防止从网络其他位置用root身份登录数据库，增加安全性。
5. 移除测试数据库：输入Y。默认的test数据库可以被任何人访问，应该移除。
6. 重新加载权限表：输入Y。使上述所有安全更改立即生效。

实操心得：很多新手在这一步设置的数据库密码，过后就忘记了，导致后续配置DVWA时连接失败。建议你用一个文本文件临时记录一下这个密码，或者使用一个你绝对不会忘记的、专用于本地测试的密码。毕竟这只是本地靶场，安全性和易记性需要做个平衡。

2.3 为DVWA创建专用数据库和用户

虽然可以用root用户，但最佳实践是为每个应用创建独立的数据库和用户，权限最小化。我们登录MariaDB来操作：

sudo mysql -u root -p

输入你刚才设置的root密码。成功后会进入MariaDB的命令行界面（提示符变为MariaDB [(none)]>）。然后依次执行以下SQL命令：

CREATE DATABASE dvwa; CREATE USER 'dvwa_user'@'localhost' IDENTIFIED BY 'p@ssw0rd'; GRANT ALL PRIVILEGES ON dvwa.* TO 'dvwa_user'@'localhost'; FLUSH PRIVILEGES; EXIT;

我们来解释一下：

• CREATE DATABASE dvwa;：创建了一个名为dvwa的数据库。
• CREATE USER 'dvwa_user'@'localhost' IDENTIFIED BY 'p@ssw0rd';：创建了一个用户名为dvwa_user，且只能从本机（localhost）连接的用户，密码设置为p@ssw0rd。你可以将p@ssw0rd改为更复杂的密码。
• GRANT ALL PRIVILEGES ON dvwa.* TO 'dvwa_user'@'localhost';：将dvwa数据库的所有权限（ALL PRIVILEGES）授予给dvwa_user用户。
• FLUSH PRIVILEGES;：立即刷新权限，使授权生效。
• EXIT;：退出MariaDB命令行。

3. 获取与部署DVWA靶场源码

环境准备好了，现在可以把“房客”——DVWA程序请进来了。我们需要从官方或可靠的源获取其源代码。

3.1 下载DVWA最新版本

最推荐的方式是使用Git从官方仓库克隆，这样可以确保获得最新版本，也便于后续更新。

cd /var/www/html sudo git clone https://github.com/digininja/DVWA.git

这条命令将DVWA的源代码克隆到了Apache的默认网站根目录/var/www/html下的DVWA文件夹中。如果网络较慢或Git失败，你也可以从其GitHub发布页面手动下载ZIP包，然后解压到/var/www/html/dvwa目录下（注意目录名可能不同）。

注意事项：务必确保DVWA文件的所有者能让Apache读取。通常克隆或解压后，文件属于当前用户。我们需要将其所有权变更为Apache运行的用户（通常是www-data）：

sudo chown -R www-data:www-data /var/www/html/DVWA

-R参数表示递归处理目录下的所有文件和子目录。

3.2 关键配置文件修改

DVWA提供了一个配置模板，我们需要根据本地环境进行修改。

cd /var/www/html/DVWA/config sudo cp config.inc.php.dist config.inc.php sudo nano config.inc.php

我们使用nano编辑器打开配置文件（如果你习惯vim也可以用vim）。找到以下关键部分进行修改：

1. 数据库连接配置：

   $_DVWA[ 'db_server' ] = '127.0.0.1'; $_DVWA[ 'db_database' ] = 'dvwa'; $_DVWA[ 'db_user' ] = 'dvwa_user'; $_DVWA[ 'db_password' ] = 'p@ssw0rd';

   确保这里的db_database、db_user和db_password与你之前在MariaDB中创建的一致。db_server保持127.0.0.1或localhost即可。

2. 安全级别与PHP配置（可选但重要）：

   • $_DVWA[ 'default_security_level' ]可以设置默认安全等级，建议新手先设为low，方便练习。
   • 确保$_DVWA[ 'recaptcha_public_key' ]和$_DVWA[ 'recaptcha_private_key' ]在你不使用reCAPTCHA功能时保持为空字符串，否则某些页面可能报错。

修改完成后，按Ctrl+X，然后输入Y保存，再按回车确认文件名退出。

3.3 解决PHP函数禁用与文件权限问题

DVWA需要一些特定的PHP函数支持，而Kali的默认PHP配置可能禁用了其中一些，比如allow_url_fopen和allow_url_include（用于远程文件包含漏洞演示）。我们需要编辑PHP配置文件。

sudo nano /etc/php/8.2/apache2/php.ini

注意：你的PHP版本号可能不是8.2，可以通过php -v查看。常见的有7.4、8.1、8.2等，请进入对应的目录。

在文件中搜索以下配置项，并确保它们设置为以下值：

allow_url_fopen = On allow_url_include = On safe_mode = Off display_errors = On # 方便调试，生产环境应设为Off disable_functions = # 确保这一行是空的，或者不包含DVWA需要的函数（如passthru）

保存并退出后，必须重启Apache服务以使PHP配置生效：

sudo systemctl restart apache2

接下来，DVWA需要一个可写的目录来存储上传的文件和日志。我们需要设置hackable和external目录的权限。

cd /var/www/html/DVWA sudo chmod 777 hackable/uploads/ sudo chmod 777 external/

chmod 777赋予了所有用户（所有者、组、其他）读、写、执行的权限。这在生产环境中是极度危险的，但在本地学习靶场中，为了方便，可以暂时这样设置。

4. 初始化与访问DVWA靶场

所有配置完成后，我们就可以通过浏览器访问并初始化DVWA了。

4.1 运行安装向导

打开你的浏览器（Kali自带Firefox），在地址栏输入：http://127.0.0.1/DVWA/setup.php

如果一切顺利，你会看到DVWA的安装页面。页面会进行一系列检查，通常会有几个红色的“警告”或“失败”提示，这很正常，我们需要逐一解决。

1. PHP函数allow_url_include警告：如果你按照上一步修改了php.ini并重启了Apache，刷新页面后这个警告应该会变成绿色“通过”。如果没有，请再次确认修改和重启步骤。
2. 数据库连接失败：这是最常见的问题。请回头检查：
   • config.inc.php中的数据库用户名、密码、数据库名是否正确。
   • MariaDB服务是否正在运行 (sudo systemctl status mariadb)。
   • 是否成功创建了dvwa数据库和dvwa_user用户（可以重新登录MariaDB用SHOW DATABASES;和SELECT user FROM mysql.user;命令查看）。
3. reCAPTCHAkey missing 警告：这个可以忽略，除非你需要测试带验证码的表单。它不会影响核心功能。

当所有检查项（除了reCAPTCHA）都变为绿色或可接受的警告后，滚动到页面最下方，点击“Create / Reset Database”按钮。

这个按钮会执行一个SQL脚本，在之前创建的dvwa数据库中建立所需的数据表，并插入默认的用户数据（如用户名admin，密码password）。如果成功，页面会提示“Setup Successful”。

4.2 首次登录与安全级别设置

现在，访问DVWA的主页：http://127.0.0.1/DVWA/或http://127.0.0.1/DVWA/login.php

使用默认凭证登录：

• 用户名：admin
• 密码：password

登录成功后，你首先应该做的是修改默认密码。点击左侧导航栏的“Brute Force”模块，然后在页面下方找到“Change Password”部分，为admin用户设置一个强密码。虽然靶场在本地，但养成好习惯很重要。

接下来，关注页面左侧的“DVWA Security”选项。这里是DVWA的精华所在。点击进入后，你可以看到一个下拉菜单，包含四个安全级别：

• Low：完全无防护。代码中存在最原始、最明显的漏洞，适合理解漏洞最基础的原理和利用方式。
• Medium：引入了基础的防护措施，但存在明显的缺陷，可以被绕过。适合学习基础的绕过技巧。
• High：实现了较强的防护，需要更精巧的利用技术或结合其他漏洞才能突破。适合进阶挑战。
• Impossible：理论上已修复了漏洞，代表了当前的最佳安全实践。用于学习正确的防御代码怎么写。

对于纯新手，强烈建议从“Low”级别开始。在这个级别下，你可以最直观地看到漏洞是如何产生的，以及最简单的攻击载荷是如何生效的。逐步通关Low级别下的所有模块（如SQL Injection、Command Injection、File Upload等），建立起基本概念后，再逐步提升难度，去挑战如何绕过Medium和High级别的防护。

5. 核心漏洞模块初探与学习路径

成功搭建并登录后，面对左侧十几个漏洞模块，新手可能会感到茫然。我建议按照一个由浅入深、逻辑连贯的顺序进行学习，而不是盲目地从上到下点开。

5.1 入门首选：Brute Force（暴力破解）与 Command Injection（命令注入）

Brute Force（暴力破解）是理解“自动化攻击”和“会话管理”的绝佳起点。在Low级别下，你可以使用Kali自带的工具如hydra来尝试破解登录密码。这个过程会让你理解什么是字典攻击、请求重放，以及一个不设防的登录表单有多么脆弱。同时，你可以通过Burp Suite这类代理工具拦截登录请求，观察Cookie和Session是如何工作的。

Command Injection（命令注入）则能让你立刻感受到“漏洞”的威力。在Low级别下，输入框原本可能用于执行ping命令，但如果你输入8.8.8.8; whoami，你会发现后面的whoami命令也被执行了，并返回了当前Web服务的运行用户（通常是www-data）。这个直观的反馈非常震撼，能让你立刻理解“用户输入被当作代码执行”的危险性。你可以尝试拼接更多命令，如ls -la查看目录，cat /etc/passwd查看系统用户，但请务必只在本地靶场进行。

5.2 理解Web安全基石：SQL Injection（SQL注入）与 XSS（跨站脚本）

这是两个最经典、危害也最大的Web漏洞，必须深入理解。

SQL Injection（SQL注入）：在DVWA的SQL注入模块，Low级别下，你会发现输入一个用户ID（如1），页面返回用户信息。尝试输入1'（带一个单引号），如果页面报错，说明存在SQL注入漏洞。进一步，你可以尝试构造永真条件：1' OR '1'='1。通过使用Burp Suite的Repeater模块，或者学习使用sqlmap这个自动化注入工具（Kali已预装），你可以系统地学习如何判断注入类型、获取数据库名、表名、列名，最终拖取数据。这个过程是理解“攻击链”的完美范例。

XSS（跨站脚本）：分为反射型（Reflected）和存储型（Stored）。反射型XSS就像在搜索框输入<script>alert('XSS')</script>，脚本立即执行并弹窗。存储型XSS则是把恶意脚本（比如一段窃取Cookie的JavaScript）写入到数据库（如留言板），当其他用户浏览时触发。在DVWA中，你可以分别体验这两种类型。理解XSS的关键在于明白，浏览器无法区分一段文本是可信的内容还是恶意脚本，只要它被当作HTML和JavaScript解析了，就会执行。

5.3 文件相关漏洞：File Upload（文件上传）与 File Inclusion（文件包含）

File Upload（文件上传）：Low级别下，网站几乎不检查你上传的文件。你可以直接上传一个PHP Webshell（例如，一个包含<?php system($_GET['cmd']);?>的shell.php文件）。上传成功后，访问这个文件的URL，你就能在服务器上执行任意命令。这直观地展示了“控制服务器”的过程。在Medium和High级别，你需要学习如何绕过前端检查、MIME类型检查、文件扩展名检查，甚至图片马（将恶意代码嵌入图片）的技巧。

File Inclusion（文件包含）：分为本地文件包含（LFI）和远程文件包含（RFI）。LFI允许你通过参数包含服务器本地的其他文件，比如../../../../etc/passwd来读取系统敏感文件。RFI则更危险，允许包含远程服务器上的恶意文件（需要allow_url_include=On）。这个漏洞揭示了程序在动态加载文件时，如果未对输入进行严格过滤，会带来多么严重的后果。

6. 进阶工具联动：将DVWA与Kali工具生态结合

单独使用DVWA的Web界面进行手工测试是基础，但Kali的强大在于其工具生态。学会将DVWA与这些工具结合，你的学习效率会倍增。

6.1 信息收集与代理工具：Burp Suite

Burp Suite是Web安全测试的“瑞士军刀”。在测试DVWA前，先将浏览器代理设置为Burp（默认127.0.0.1:8080），并安装Burp的CA证书以拦截HTTPS流量（虽然DVWA是HTTP，但养成习惯）。然后，你在DVWA中的所有操作，请求和响应都会经过Burp。

• Proxy/History：查看所有流量记录，分析请求参数。
• Repeater：选中一个请求（比如一个包含可疑参数的GET请求），发送到Repeater。你可以随意修改参数（比如将id=1改为id=1'），然后重放（Send），观察响应变化。这是手工测试SQL注入、XSS、命令注入的利器。
• Intruder：用于自动化攻击，比如对登录表单进行暴力破解，或者对某个参数进行模糊测试（Fuzzing），插入大量Payload观察异常响应。
• Scanner：社区版功能有限，但可以用于基础的主动扫描，帮你发现一些明显的漏洞点。

6.2 自动化漏洞利用：sqlmap

当你手工确认某个参数存在SQL注入漏洞后，就可以请出sqlmap了。它是一个开源的自动化SQL注入检测与利用工具。假设DVWA的SQL注入页面URL是http://127.0.0.1/DVWA/vulnerabilities/sqli/?id=1&Submit=Submit，并且你已登录（Cookie需要保持）。

你可以使用如下命令进行探测：

sqlmap -u "http://127.0.0.1/DVWA/vulnerabilities/sqli/?id=1&Submit=Submit" --cookie="PHPSESSID=你的会话ID; security=low"

--cookie参数至关重要，因为DVWA需要登录状态和特定的安全级别设置。sqlmap会自动识别注入类型、数据库类型，并可以帮你获取数据库、表、列信息，甚至直接导出数据。通过观察sqlmap的Payload和攻击流程，你能反向学习到很多高级的注入技巧。

6.3 综合渗透测试框架：Metasploit

虽然DVWA主要是Web漏洞，但某些漏洞（如命令注入、文件上传获取Webshell）可以帮你拿到一个低权限的shell（例如www-data用户）。这时，你可以尝试使用Metasploit进行权限提升（提权）或横向移动。

例如，如果你通过文件上传获得了Webshell，并发现系统存在一个已知的内核漏洞（可以通过uname -a查看内核版本，然后用searchsploit搜索漏洞），你可以在Metasploit中搜索对应的提权模块（search exploit linux/local），配置并运行，尝试将权限提升至root。这个过程将Web漏洞利用与系统漏洞利用串联起来，形成了一个完整的渗透测试链条。

7. 常见问题排查与优化配置实录

即使按照步骤操作，搭建过程中也难免会遇到问题。这里记录了一些我反复遇到并解决的典型问题。

7.1 数据库连接失败问题汇总

这是最高频的问题，其表现和解决方法如下：

7.2 PHP配置与函数禁用问题

7.3 文件权限与访问问题

7.4 安全级别切换不生效或会话问题

8. 从靶场到实战：思维转变与后续学习建议

成功搭建并玩转DVWA的Low级别，只是万里长征的第一步。靶场和真实世界的最大区别在于“未知性”。在DVWA里，你知道这里一定有漏洞，并且知道是什么类型的漏洞。但在真实测试中，你需要自己去找入口、识别的技术、判断漏洞类型、构造利用链。

思维转变一：从“利用已知”到“发现未知”。下一步，你应该尝试一些更接近真实的漏洞靶场，比如：

• bWAPP：包含100多种漏洞，覆盖更广。
• WebGoat：OWASP出品，带有详细的教学指导，更像一个互动课程。
• PentesterLab的在线练习：提供从易到难的各类漏洞场景。

这些靶场不会直接告诉你“这里是SQL注入点”，需要你使用Burp Suite等工具进行爬虫、扫描、手动测试，自己去发现和验证漏洞。

思维转变二：理解漏洞原理与修复方案。不要只满足于利用漏洞。在DVWA中，切换不同的安全级别，对比查看源代码（在Setup页面可以点击“View Source”）。看看Low级别的漏洞代码长什么样，Medium和High级别又增加了哪些过滤和校验，Impossible级别是如何从根本上杜绝漏洞的。理解防御代码，才能在未来开发中避免写出有问题的代码。

学习建议：

1. 建立知识体系：系统学习OWASP Top 10，理解每类漏洞的原理、危害、利用方式和修复方案。
2. 工具深度学习：不要只停留在Burp Suite和sqlmap的简单使用上。深入学习Burp Suite的扩展（Extensions）、Intruder的四种攻击模式、sqlmap的Tamper脚本（用于绕过WAF）。
3. 参与合法实战：在技能提升后，可以尝试参与一些合法的众测平台、漏洞赏金计划（Bug Bounty）的入门项目，或者CTF比赛中的Web题目，在规则允许的范围内检验自己的学习成果。

搭建DVWA靶场，就像拿到了一把打开网络安全大门的钥匙。门后的世界庞大而复杂，但有了这个安全、可控的起点，你可以放心大胆地去尝试、去失败、去理解每一个攻击背后的原理。记住，所有的技术都应该用于合法、合规的测试和学习，这是每一位安全从业者必须坚守的底线。