Damn Vulnerable Web App
DVWA全称Damn Vulnerable Web App 是一个包含漏洞的PHP/MySQL应用。它的主要目的是为专业的安全人员提供一个合法的环境去测试他们的工具和技能，它可以帮助Web开发人员更好地理解安全漏洞并开发出安全的Web应用，并为学生/教师学习Web安全提供一个可控的学习环境。
DVWA包含了常见的Web安全漏洞，并且分Low、Medium、High、Imposssible四个不同安全等级。每种漏洞有多种利用方式，这就需要你尽可能发现更多的安全问题。
DVWA下载地址：https://github.com/ethicalhack3r/DVWA
安装环境
操作系统：CentOS6.8
Web应用：Xampp5.6.28，下载地址：https://www.apachefriends.org/index.html
安装命令
##安装Xampp
[root@hades02 ~]# chmod +x xampp-linux-x64-5.6.28-1-installer.run
[root@hades02 ~]# ./xampp-linux-x64-5.6.28-1-installer.run
----------------------------------------------------------------------------
Welcome to the XAMPP Setup Wizard.
----------------------------------------------------------------------------
Select the components you want to install; clear the components you do not want
to install. Click Next when you are ready to continue.
XAMPP Core Files : Y (Cannot be edited)
XAMPP Developer Files [Y/n] :y
Is the selection above correct? [Y/n]: y
----------------------------------------------------------------------------
Installation Directory
XAMPP will be installed to /opt/lampp
Press [Enter] to continue:
----------------------------------------------------------------------------
Setup is now ready to begin installing XAMPP on your computer.
Do you want to continue? [Y/n]: y
----------------------------------------------------------------------------
Please wait while Setup installs XAMPP on your computer.
Installing
0% ______________ 50% ______________ 100%
#########################################
----------------------------------------------------------------------------
Setup has finished installing XAMPP on your computer.
##启动apache和mysql
[root@hades02 ~]# cd /opt/lampp/
[root@hades02 lampp]# ./ctlscript.sh status
proftpd not running
apache already running
mysql not running
[root@hades02 lampp]# ./ctlscript.sh start mysql
/opt/lampp/mysql/scripts/ctl.sh : mysql started at port 3306
Xampp已经安装成功并启动，在浏览器中输入IP地址并访问，如下图所示
dvwa-install.png
红色部分表示配置有问题，如果不解决可能会导致一些漏洞无法利用，如下配置可以解决红色报错问题（reCAPTCHA key在这里可以暂时忽略）
[root@hades02 lampp]# chmod 777 htdocs/hackable/uploads/
[root@hades02 lampp]# chmod 777 htdocs/external/phpids/0.6/lib/IDS/tmp/phpids_log.txt
[root@hades02 lampp]# vi etc/php.ini
898 allow_url_include=On #大概在898行的位置，修改Off为On
[root@hades02 lampp]# vi htdocs/config/config.inc.php
15 $_DVWA[ 'db_server' ] = '127.0.0.1';
16 $_DVWA[ 'db_database' ] = 'dvwa';
17 $_DVWA[ 'db_user' ] = 'root';
18 $_DVWA[ 'db_password' ] = ''; #xampp默认mysql没有密码，这里留空
然后点击“Creat/Reset Database”创建数据库，提示成功就就可以登录了，默认登录帐号密码：admin/password，设置安全等级为“Low”，就可以进行实验了.
dvwa-install.png
<全文完>
