DVWA (Dam Vulnerable Web Application)是用PHP+Mysql编写的一套用于常规WEB漏洞教学和检测的WEB脆弱性测试程序。包含了SQL注入、XSS、盲注等常见的一些安全漏洞。
DVWA是一个很容易受到攻击的PHP+MySQL的Web应用程序。其主要目标是帮助安全专业人员在法律环境中测试他们的技能和工具，帮助Web开发人员更好地了解保护Web应用程序的过程，并帮助学生和教师了解受控类中的Web应用程序安全性房间测试环境。
由于是本地搭建真实web漏洞网站，我就以Windows系统来操作了！
一、DVWA 下载
下载地址：https://github.com/ethicalhack3r/DVWA
二、DVWA 安装
在安装前，需要做一个准备工作，我们先去做一个PHP+Mysql的环境搭建。
1、下载、安装、启动phpstudy（www.phpstudy.net）。
phpStudy是一个PHP调试环境的程序集成包。恰好我们可以用到"PHP+Mysql+Apache"。
2、将下载的DVWA解压到phpstudy网站根目录下。
例如：我这解压后的路径是“F:phpStudyWWWDVWA”。
3、将 config.inc.php.dist 复制一份或重命令为 config.inc.php；
例如：我的配置文件路径是“F:phpStudyWWWDVWAconfig”。
4、修改 config.inc.php 里代码如下：
$_DVWA[ 'db_server' ] = '127.0.0.1'; #数据库地址
$_DVWA[ 'db_database' ] = 'dvwa'; #数据库名称
$_DVWA[ 'db_user' ] = 'root'; #数据库用户名
$_DVWA[ 'db_password' ] = 'root'; #数据库密码
因为phpstudy默认的mysql数据库地址是“127.0.0.1 或 localhost"，用户名和密码都是"root"。主要是修改’db_password‘为root，这里很重要，修改后自然是需要保存文件的，这个不用说相信大家也能知道。
三、DVWA 使用
使用其实也没什么可多说的，也非常的简单，只有以下几个步骤：
1、设置或重置数据库
浏览器只需要直接打开“http://127.0.0.1/dvwa/setup.php”即可！如果有”标红“提示，可能你要打开一些模块或做一些设置，否则有些是不能实验的，例如：文件包含、文件上传漏洞。
2、登陆
浏览器打开”http://127.0.0.1/dvwa/login.php“登陆。默认用户名：admin，默认密码：password；
3、设置程序安全级别
浏览器打开”http://127.0.0.1/dvwa/security.php“来做设置，分别有”低、中、高、不可能“，程序安全级别越低，说明越容易被攻破，没有做任何的安全防护。主要是用来自我挑战不同等级的程序防护级别的！
总结：
上图是我本地浏览器打开的效果图，可以清楚的看到DVWA包含了以下具体的漏洞：暴力破解、命令注入、CSRF、文件包含、上传文件、验证码、SQL普通注入、SQL盲注、弱session、XSS、安全策略（CSP）绕过、JavaScript攻击。
