渗透测试漏洞平台DVWA-参考答案

最新推荐文章于 2024-09-14 07:17:39 发布

煜铭2011

最新推荐文章于 2024-09-14 07:17:39 发布

阅读量1.7w

点赞数 6

分类专栏：应用安全文章标签：信息安全漏洞测试 dvwa

本文链接：https://blog.csdn.net/qq_29277155/article/details/52726730

版权

应用安全专栏收录该内容

103 篇文章 18 订阅

订阅专栏

0x00 前言

DVWA (Dam Vulnerable Web Application)DVWA是用PHP+Mysql编写的一套用于常规WEB漏洞教学和检测的WEB脆弱性测试程序。包含了SQL注入、XSS、盲注等常见的一些安全漏洞。

0x01 下载安装XAMPP

1 下载地址：http://www.xampps.com/

2 下载了压缩包：xampp_2016.zip,解压后点击xampp_2016.exe 即可正常安装。一般来说，我们建议把这种集成环境安装在虚拟机，例如我安装在windows2008R2上。

3 其他信息：

### MySQL 默认密码 ### User: root Password:root

安装使用:

1: 勾选 [Service] 那栏下的按钮, 实现安装服务.

2: 点击各功能的 start 按钮来启动进程.

3: 点击各功能的 admin 按钮来管理功能.

4: 启动 tomcat 需要先安装JDK.

0x02 下载安装DVWA

1 下载地址：https://github.com/RandomStorm/DVWA/archive/v1.9.zip)

2 把压缩包解压到：C:\xampp\htdocs\

3 正常访问地址：http://192.168.11.131/DVWA-1.9/

4 其他信息：如果我们在主机打开浏览器输入该地址，无法访问。解决方案：

重启XAMPP ②关闭虚拟机的防火墙③使用【windows防火墙】--【高级设置】--【诊断/修复】--【传入的连接】--【允许其他计算机连接Apache HTTP Server】

如果出现Apache等服务的端口被占用的话，我们就可以考虑更换对应服务的端口。例如Apache 的http.conf 文件，可以把80端口改成其他端口。打开盖文件，搜索80，即可找到该文件。

如果出现某个服务无法启动，打开任务管理器把该进程彻底关掉，然后注销重新登陆。或者直接关机重启。

0x03 准备环境

1 创建数据库

因为DVWA默认有数据库的连接密码，但是XAMPP也有默认的MySQL用户名和密码，所有这里我们要更改一下DVWA的配置文件。其中默认的安装路径为：C:\xampp\htdocs\DVWA-1.9\config，打开文件【config.inc.php】，搜索【db_user】

默认的配置文件为：

$_DVWA[ 'db_user' ] = 'root';

$_DVWA[ 'db_password' ] = 'p@ssw0rd';

改成如下：

$_DVWA[ 'db_user' ] = 'root';

$_DVWA[ 'db_password' ] = 'root';

2 登陆管理界面

我们看到登陆框，这里的登陆密码为admi/password ，输入即可成功登陆

3 DVWA简介

我们可以看到左侧栏有【home】、【instruction】、【Setup/ResetDB】等管理选项。在这里，我们可以看到一系列的信息。例如DVWA的功能介绍，更多延伸拓展练习，PDF文档介绍，变更日志，PHPIDS等等。在这里强调一下，我们并没有开启PHPIDS。为啥不开启，因为PHPIDS是一个防火软件套装，直接保护PHP应用的。相当于一个WAF。

4 DVWA Security

这个功能很重要，在这里我们可以设置漏洞风险的级别，即使级别越大，漏洞越难发现。此处有四个等级：low、Medium、High、Impossible。其中等级【Impossible】是难度最高的，执行该等级，几乎很难挖掘到任何漏洞。一般来说作为演练平台，我们往往会使用等级【low】,如果想进一步挑战，可以执行等级【Medium】。