DVWA部署完成后，使用默认帐户密码(admin/password )访问欢迎界面(Home )页面。 欢迎页面简要介绍了DVWA平台。 如果需要更深入地了解DVWA平台，请在instructionpdfguideofficialdocumentationpdocumentation中
关于《Damn Vulnerable Web Application (DVWA) Official Documentation》的重点内容介绍几个。
【声明】
所有DWA都称为damn vulnerable web应用程序，意味着存在坏漏洞的web APP应用程序。 基于PHP/MySQL开发的漏洞web APP，旨在为专业安全人员提供测试工具和技能的合法环境。 它还可以帮助web开发人员了解web APP保护流程，并在课堂上为师生安全教育提供便利。
DVWA是一个RandomStorm开源项目，有关RandomStorm开源项目的详细信息，请参阅http://www.randomstorm.com。
DVWA项目始于2008年12月，逐渐受到欢迎。 现在全世界有成千上万的安全专家，学生和教师都在使用它。 DWA目前包含在常见的渗透测试Linux分发中，包括samurai web测试框架。
【无奈的雨】
DWA是一种自由软件，可以在遵守自由软件基金会发布的GNUgeneralpublic无力雨的情况下重新发行和/或修改。 无奈的雨可以选择版本3或更高的版本。
DVWA的发行希望它有用，但不提供担保。 另外，对商品性和特别用途的适用性没有暗示的保证。 详情请参照GNUgeneralpublic的无力雨证。
【警告】
你应该已经得到了DVWA和GNU共同的公共无奈雨的复印件。 如果http://www.gnu.org/licenses/DVWA的漏洞非常危险。 请勿上载到托管服务提供商的公共html文件夹或运行的Web服务器。 DVWA漏洞是一个巨大的威胁。 建议您下载XAMPP并将其安装在局域网中的本地计算机上，以确保其仅用于测试。
我们不对任何人使用DVWA的行为负责。 我们明确了这个APP应用的用途。 不能将DVWA用于恶意用途。 已发出警告，并采取了措施防止DVWA安装在活动的Web服务器上。 如果您的Web服务器因安装DVWA而损坏，上传者和安装者将承担责任，我们对此不承担任何责任。
【安装】
DWA是用PHP语言开发的一种在后端使用MySQL数据库的web APP应用程序。 要运行DWA，必须安装web服务器、PHP开发环境和MySQL数据库。 如果现在没有配置好的web服务器，最简单的方法是下载并安装XAMPP。
XAMPP使您可以轻松地在Linux、Solaris、Windows和Mac OS X上安装Apache发行版。 此安装软件包包括Apache web服务器、MySQL、PHP、Perl、FTP服务和phpMyAdmin。
您可以从以下链接下载XAMPP :
xamppinstallersanddownloadsforapachefriends
DWA默认用户名：管理员
DVWA默认密码： password
[Windows]
下载XAMPP后，将DVWA解压缩到Apache htdoc文件夹下。 (安装PHPstudy后，DVWA将解压缩到www文件夹下。 它通常位于“‘c:xampphtdoc”路径下。 在这种情况下，您可以通过http://127.0.0.1/DVWA访问dvwa。
[Linux]
下载XAMPP后，将DVWA解压缩到Apache htdoc文件夹下。 (安装PHPstudy后，DVWA将解压缩到www文件夹下。 它通常位于“‘c:xampphtdoc”路径下。 使用‘sudo/opt/lampp/lampstart’命令启动Apache服务。 在这种情况下，您可以通过http://127.0.0.1/DVWA访问dvwa。
【漏洞】
DVWA正如其名，存在许多常见类型的web APP应用程序漏洞。 dwa综合了OWASP在2010年报告中提到的前十大web风险。 33558 owasp top 10.Google code.com/files/owasp top 10-2010.pdf (owasp :开放web APP应用程序安全项目)。 ）
2010年OWASP报告中排名前10的web风险：
A1：注入A2：跨站脚本A3：无效的验证和会话管理 A4：不安全的直接对象引用A5：安全配置错误A6：伪造跨站请求A7：不安全的加密存储A8：无效的URL访问限制A9：传输层保护不足A10：未经验证的重定向和转发DVWA中包含的web漏洞：
暴力破解：HTTP表单暴力破解登录页面；用来测试密码暴力破解工具，展示弱口令的不安全性。命令执行：在底层操作系统上执行命令。伪造跨站请求：启动一个“攻击者”更改应用的管理员密码。文件包含：允许“攻击者”将远程/本地文件包含到Web应用程序中。SQL注入：启动一个“攻击者”将SQL语句注入到HTTP表单的输入框中，DVWA包括基于盲（盲注）和错误的SQL注入。不安全文件上传：允许“攻击者”将恶意文件上传到web服务器。跨站脚本（XSS）：“攻击者”可以将自己编写的脚本注入到web应用或数据库中，DVWA包含反射型和存储型XSS。复活节彩蛋：全路径暴露，认证验证绕过等（去把它们找出来吧！）。漏洞的位置：
==低级安全==
1.暴力破解/弱口令
http://127.0.0.1/dvwa/login.php
http://127.0.0.1/dvwa/vulnerabilities/brute/
2.命令执行
http://127.0.0.1/dvwa/vulnerabilities/exec/
3.伪造跨站请求（CSRF）
http://127.0.0.1/dvwa/vulnerabilities/csrf/ File Inclusion
http://127.0.0.1/dvwa/vulnerabilities/fi/?page=include.php
4.SQL注入
http://127.0.0.1/dvwa/vulnerabilities/sqli/
http://127.0.0.1/dvwa/vulnerabilities/brute/
5.不安全文件上传
http://127.0.0.1/dvwa/vulnerabilities/upload/
6.反射型跨站脚本
http://127.0.0.1/dvwa/vulnerabilities/xss_r/
7.存储型跨站脚本
http://127.0.0.1/dvwa/vulnerabilities/xss_s/
8.全路径暴露
设置PHPSESSID为null（空会话cookie）。
http://www.owasp.org/ index.php/Full_Path_Disclosure
9.身份认证绕过
如果管理员更改了默认密码，并且“攻击者”知道默认密码。这个“攻击者”可以访问http://127.0.0.1/dvwa/setup.php重置数据库，包括默认密码。
DVWA安全
DVWA既有漏洞又有一些其他特性来帮助web应用安全的教学和学习，DVWA的安全特性分为两个部分：一是漏洞的安全级别；二是PHP-IDS入侵检测。
漏洞的安全等级分为低级、中级和高级。每个级别都会改变 DVWA中所有漏洞的利用难度，初始加载时默认所有漏洞安全等级为高级，以下是每个安全级别及其用途的说明。
高级 - 此级别旨在为用户提供良好编码实践的示例。这个级别应该保护所有漏洞的安全，它用于将易受攻击的源代码与安全源代码进行比较。中级 - 此级别主要是为用户提供糟糕的编程实践示例。开发者对程序的安全性进行了一定的保护但是仍有可被利用的漏洞，这为改进用户漏洞利用技巧提供了挑战。低级 - 此级别是完全易受攻击的，并且没有做任何安全防护。它的作用是展示不良编程实践是如何导致 Web 应用程序漏洞的，并用作教授或学习漏洞基本利用技术的平台。DVWA 中的每个漏洞页面都有一个“查看源代码”按钮，该按钮用于查看和比较每个漏洞的源代码的安全级别。 这使用户可以轻松访问源代码，以比较安全和不安全的编码实践。
----------未完待续----------