首先,先在github下载DVWA的源码:
https://github.com/ethicalhack3r/DVWA
由于靶场运行需要用到Apache、MySQL及PHP的环境,为了省去一个一个下载安装这些环境的繁琐,推荐使用XAMPP或者PHPstudy这种集成了(Apache+MySQL+PHP+PERL)的建站集成软件包。
我目前使用的是XAMPP,下载链接如下:
https://www.apachefriends.org/zh_cn/download.html
XAMPP的安装过程不再赘述,需要注意的是安装好时,打开XAMPP control panel时各个模块前面默认为红叉,需要配置什么样的环境时,点击红叉会提示进行安装,下面的日志会提示安装是否成功。当红叉变成绿色的对勾时,说明已经安装好:
在安装路径下,生成一个XAMPP文件夹:
将刚刚下载的DVWA源码压缩文件解压缩,并将解压后的文件夹(DVWA-master)拷贝至xmapp/htdocs目录下:
下面开始进行配置:
1、查看xmapp中数据库mysql的配置信息:进入安装目录/xampp/phpMyadmin,打开config.inc.php文件,可以看到MySQL配置的用户和密码,如下图所示,用户名是root,密码为空:
(如需修改mysql默认的用户名密码,也是在这个位置进行修改)
2、配置dvwa的数据库,路径为xampp/htdocs/DVWA-master/config,打开config.inc.php文件,将其中的数据库信息配置为上一步中获得的xmapp中mysql数据库用户名密码,db_sever配置为127.0.0.1
db_database默认为dvwa
db_user配置为root
db_password为空
3、打开xmapp/htdocs,配置index.php,建议将该文件下原有的index.php进行复制,将复制的文件重命名(以靶场名字命名),以便于后续添加多个靶场不会造成混淆。例如index-dvwa.php、index-pikachu.php等。对index-dvwa.php进行配置,将uri的值修改为/DVWA-master/index.php
4、在数据库中为DVWA建立新的数据库:打开XAMPP control panel,点击MySQL模块下的Admin,进入数据库配置页面:
5、基本的配置已经完成,在XAMPP control panel中点击Apache和MySQL的“start”按钮,将服务启动。
6、启动成功后,在浏览器访问http://127.0.0.1/dvwa-master/,打开页面如下:
至此,DVWA的靶场已经基本建好,我们可以看到里面包括了暴力破解、命令注入、跨站脚本攻击、SQL注入攻击、XSS漏洞攻击等漏洞的测试环境,便于后续对于漏洞原理和漏洞方式利用的学习和手工验证。