DVWA部署完成后通过默认账号密码（admin/password）进入欢迎界面（Home页面），欢迎页面对DVWA平台做了简单的介绍，如果需要对DVWA平台有一个更加深入的了解，可以在Instruction >> PDF Guide >> Official Documentation PDF v1.3 中查阅DVWA的相关信息。

下面对《Damn Vulnerable Web Application (DVWA) Official Documentation》的重点内容做一些介绍：

【声明】

DVWA全称为Damn Vulnerable Web Application，意为存在糟糕漏洞的web应用。它是一个基于PHP/MySQL开发的存在糟糕漏洞的web应用，旨在为专业的安全人员提供一个合法的环境，来测试他们的工具和技能。帮助web开发人员理解web应用保护的过程，还可以在课堂中为师生的安全性教学提供便利。

DVWA是一个RandomStorm开源项目，了解更多关于RandomStorm开源项目可以访问 http://www.randomstorm.com.

DVWA项目开始于2008年12月，并逐渐受到欢迎。 现在，全世界有成千上万的安全专业人员，学生和教师正在使用它。 DVWA现在已包含在流行的渗透测试Linux发行版中，例如Samurai的Web测试框架等。

【许可】

DVWA是一个免费软件，在遵守自由软件基金会发布的GNU通用公共许可的前提下，你可以重新发布它和/或修改它。许可可以是版本3，或（由您选择）任何更高的版本。

DVWA的发行是希望它能够有用，但没有提供担保，甚至没有对适销性和特殊用途适用性做暗示性的担保，更多详细信息可参见GNU通用公共许可证。

【警告】

你应该已经得到了DVWA和GNU通用公共许可的副本，如果没有可以访问 http://www.gnu.org/licenses/。DVWA的漏洞非常危险，请勿将其上传到托管服务提供商的公共html文件夹或任何正在运行的Web服务器，DVWA的漏洞将对此造成很大的威胁。我们建议将XAMPP下载并安装到局域网内部的本地计算机上，并确保该计算机仅用于测试。

我们不对任何人使用DVWA的行为承担责任，我们已经明确了该应用程序的用途，不应将DVWA用于恶意用途。我们已发出警告并采取了措施，以防止用户将DVWA安装到活动的Web服务器上。如果您的Web服务器因安装DVWA而受到破坏，应由上传者和安装者承担责任，我们对此不承担任何责任。

【安装】

DVWA是一个web应用，使用PHP语言开发，后端使用MySQL数据库。DVWA的运行需要安装一个web服务器，PHP开发环境，MySQL数据库。如果你现在没有配置好的web服务器，最简单的方法就是下载并安装XAMPP。

使用XAMPP可以很简单的将Apache发行版安装到Linux，Solaris，Windows和Mac OS X。这个安装包里包含Apache web服务器，MySQL，PHP，Perl，FTP服务和phpMyAdmin。

XAMPP可以通过以下链接下载：

XAMPP Installers and Downloads for Apache Friends

DVWA默认用户名 ： admin

DVWA默认密码： password

[Windows]

下载安装完XAMPP后，将DVWA解压到Apache htdoc文件夹下（如果安装PHPstudy，DVWA解压到www文件夹下）。通常在‘C:\XAMPP\htdoc’路径下。此时通过http://127.0.0.1/dvwa即可访问DVWA。

[Linux]

下载安装完XAMPP后，将DVWA解压到Apache htdoc文件夹下（如果安装PHPstudy，DVWA解压到www文件夹下）。通常在‘C:\XAMPP\htdoc’路径下。使用‘sudo /opt/lampp/lamp start’命令开启Apache服务。此时通过http://127.0.0.1/dvwa即可访问DVWA。

【漏洞】

DVWA顾名思义，存在很多常见类型的web应用漏洞。DVWA整合了OWASP在2010年报告中提到的前10的web风险。http://owasptop10.googlecode.com/files/ OWASP%20Top%2010%20-%202010.pdf  （OWASP：开放web应用安全项目。）

2010年OWASP报告中排名前10的web风险：

DVWA中包含的web漏洞：

漏洞的位置：

==低级安全==

1.暴力破解/弱口令

http://127.0.0.1/dvwa/login.php

http://127.0.0.1/dvwa/vulnerabilities/brute/

2.命令执行

http://127.0.0.1/dvwa/vulnerabilities/exec/

3.伪造跨站请求（CSRF）

http://127.0.0.1/dvwa/vulnerabilities/csrf/ File Inclusion

http://127.0.0.1/dvwa/vulnerabilities/fi/?page=include.php

4.SQL注入

http://127.0.0.1/dvwa/vulnerabilities/sqli/

http://127.0.0.1/dvwa/vulnerabilities/brute/

5.不安全文件上传

http://127.0.0.1/dvwa/vulnerabilities/upload/

6.反射型跨站脚本

http://127.0.0.1/dvwa/vulnerabilities/xss_r/

7.存储型跨站脚本

http://127.0.0.1/dvwa/vulnerabilities/xss_s/

8.全路径暴露

设置PHPSESSID为null（空会话cookie）。

http://www.owasp.org/ index.php/Full_Path_Disclosure

9.身份认证绕过

如果管理员更改了默认密码，并且“攻击者”知道默认密码。这个“攻击者”可以访问http://127.0.0.1/dvwa/setup.php重置数据库，包括默认密码。

DVWA安全

DVWA既有漏洞又有一些其他特性来帮助web应用安全的教学和学习，DVWA的安全特性分为两个部分：一是漏洞的安全级别；二是PHP-IDS入侵检测。

漏洞的安全等级分为低级、中级和高级。每个级别都会改变 DVWA中所有漏洞的利用难度，初始加载时默认所有漏洞安全等级为高级，以下是每个安全级别及其用途的说明。

DVWA 中的每个漏洞页面都有一个【查看源代码】按钮，该按钮用于查看和比较每个漏洞的源代码的安全级别。 这使用户可以轻松访问源代码，以比较安全和不安全的编码实践。

PHP-IDS是一个流行的PHP入侵检测系统（IDS），同时也是一个常见的web应用防火墙（WAF）。PHP-IDS的工作原理是使用包含潜在地恶意代码的黑名单来过滤所有用户的输入。PHP-IDS在DVWA中被用作生动的例子来展示WAF如何提高web应用的安全性，某些时候也被用来展示WAF如何被绕过。PHP-IDS功能可以通过点击相应按钮来开启或关闭。DVWA 已获得 PHP-IDS 所有者Mario Heiderich 的明确书面许可，只要许可保持不变，即可在 DVWA 中包含和分发它。有关 PHP-IDS 的更多信息，请访问：http://www.php-ids.org

用户安全

----------未完待续----------