digininja/DVWA
GitHub: digininja/DVWA
DVWA 是一款基于 PHP/MariaDB 的故意包含漏洞的 Web 应用程序，旨在为安全人员和开发者提供一个受控环境，以练习常见 Web 漏洞攻防技能和测试安全工具。
Stars: 12690 | Forks: 4629
# DAMN VULNERABLE WEB APPLICATION
Damn Vulnerable Web Application (DVWA) 是一个 PHP/MariaDB Web 应用程序，该程序非常脆弱（Damn Vulnerable）。其主要目标是为安全专业人员提供一个合法环境，以测试其技能和工具；帮助 Web 开发人员更好地理解保护 Web 应用程序的流程；并协助学生和教师在受控的课堂环境中学习 Web 应用程序安全知识。
DVWA 的目标是通过简单直观的界面，**练习一些最常见的 Web 漏洞**，并提供**不同难度级别**。
请注意，该软件包含**已记录和未记录的漏洞**。这是有意为之。我们鼓励您尽可能多地发现问题。
## 警告！
Damn Vulnerable Web Application 非常脆弱！**不要将其上传到您托管服务商的公共 html 文件夹或任何面向互联网的服务器上**，因为它们会被入侵。建议使用设置为 NAT 网络模式的虚拟机（例如 [VirtualBox](https://www.virtualbox.org/) 或 [VMware](https://www.vmware.com/)）。在客户机内部，您可以下载并安装 [XAMPP](https://www.apachefriends.org/) 作为 Web 服务器和数据库。
### 免责声明
我们对任何人使用本应用程序（DVWA）的方式不承担责任。我们已经明确了该应用程序的目的，不应将其用于恶意行为。我们已经发出了警告并采取了措施，以防止用户将 DVWA 安装到实时 Web 服务器上。如果您的 Web 服务器因安装 DVWA 而被入侵，这不是我们的责任，而是上传并安装它的人员的责任。
## 许可证
本文件是 Damn Vulnerable Web Application (DVWA) 的一部分。
Damn Vulnerable Web Application (DVWA) 是自由软件：您可以根据自由软件基金会发布的 GNU 通用公共许可证的条款重新分发和/或修改它，许可证版本为第 3 版，或（根据您的选择）任何后续版本。
发布 Damn Vulnerable Web Application (DVWA) 的目的是希望它能有用，但没有任何保证；甚至没有适销性或特定用途适用性的暗示保证。有关更多详细信息，请参阅 GNU 通用公共许可证。
您应该随 Damn Vulnerable Web Application (DVWA) 一起收到了 GNU 通用公共许可证的副本。如果没有，请参阅 生成一对 API 密钥。
然后将它们放在 `./config/config.inc.php` 的以下部分中：
- `$_DVWA[ 'recaptcha_public_key' ]`
- `$_DVWA[ 'recaptcha_private_key' ]`
### 默认凭据
**默认用户名 = `admin`**
**默认密码 = `password`**
_...很容易被暴力破解 ;)_
登录 URL:
_注意：如果您将 DVWA 安装到不同的目录中，这将有所不同。_
## 故障排除
这些假设您使用的是基于 Debian 的发行版，例如 Debian、Ubuntu 和 Kali。对于其他发行版，请跟随操作，但适当地更新命令。
如果您宁愿看视频也不愿阅读文字，最常见的错误包含在视频 [修复 DVWA 设置问题](https://youtu.be/C-kig5qrPSA?si=_a4Bop505-1tXb_F) 中。
### 容器
#### 我想访问日志
如果您使用的是 Docker Desktop，可以从图形应用程序访问日志。
较新版本的一些细节可能会发生变化，但访问方法应该相同。
也可以从终端访问日志。
1. 打开终端并将其工作目录更改为 DVWA
2. 显示合并的日志
docker compose logs
如果您想将日志导出到文件，例如 `dvwa.log`
docker compose logs > dvwa.log
#### 我想在不同的端口上运行 DVWA
默认情况下我们不使用端口 80 有几个原因：
- 某些用户可能已经在端口 80 上运行了某些东西。
- 某些用户可能正在使用无根容器引擎（如 Podman），而 80 是特权端口（< 1024）。需要额外的配置（例如设置 `net.ipv4.ip_unprivileged_port_start`），但您必须自己研究。
您可以通过更改 `compose.yml` 文件中的端口绑定来在不同的端口上公开 DVWA。
例如，您可以将
```
ports:
- 127.0.0.1:4280:80
```
更改为
```
ports:
- 127.0.0.1:8806:80
```
DVWA 现在可以在 `http://localhost:8806` 访问。
如果您希望 DVWA 不仅可以从您自己的设备访问，还可以在本地网络中访问（例如，因为您正在为研讨会设置测试机），您可以从端口映射中删除 `127.0.0.1:`（或将其替换为您的 LAN IP）。这样它将监听所有可用的设备。安全的默认设置应该始终是仅监听您的本地回环设备。毕竟，这是一个运行在您机器上的该死的易受攻击的 Web 应用程序。
#### Docker 运行时 DVWA 自动启动
包含的 [`compose.yml`](./compose.yml) 文件会在 Docker 启动时自动运行 DVWA 及其数据库。
要禁用此功能，您可以删除或注释掉 [`compose.yml`](./compose.yml) 文件中的 `restart: unless-stopped` 行。
如果您想暂时禁用此行为，可以运行 `docker compose stop`，或使用 Docker Desktop，找到 `dvwa` 并点击停止。
此外，您可以删除容器，或运行 `docker compose down`。
### 日志文件
在 Linux 系统上，Apache 默认生成两个日志文件，`access.log` 和 `error.log`，在基于 Debian 的系统上，这些通常位于 `/var/log/apache2/` 中。
提交错误报告、问题等内容时，请至少包含这些文件中每个文件的最后五行。在基于 Debian 的系统上，您可以像这样获取这些内容：
```
tail -n 5 /var/log/apache2/access.log /var/log/apache2/error.log
```
### 我浏览该站点并收到 404 或 Apache2 默认页面
[视频帮助](https://youtu.be/C-kig5qrPSA?si=wTS3Aj8fycW3Idfr&t=141)
如果您遇到此问题，则需要了解文件位置。默认情况下，Apache 文档根目录（它开始寻找 Web 内容的地方）是 `/var/www/html`。如果您将文件 `hello.txt` 放在此目录中，要访问它，您将浏览到 `http://localhost/hello.txt`。
如果您创建了一个目录并将文件放在那里 - `/var/www/html/mydir/hello.txt` - 那么您需要浏览到 `http://localhost/mydir/hello.txt`。
Linux 默认区分大小写，因此在上面的示例中，如果您尝试浏览以下任何内容，您将收到 `404 Not Found`：
- `http://localhost/MyDir/hello.txt`
- `http://localhost/mydir/Hello.txt`
- `http://localhost/MYDIR/hello.txt`
这对 DVWA 有何影响？大多数人使用 git 将 DVWA 克隆到 `/var/www/html`，这为他们提供了目录 `/var/www/html/DVWA/`，其中包含所有 DVWA 文件。然后他们浏览到 `http://localhost/` 并得到 `404` 或 Apache 默认欢迎页面。由于文件位于 DVWA 中，您必须浏览到 `http://localhost/DVWA`。
另一个常见的错误是浏览到 `http://localhost/dvwa`，这将给出 `404`，因为就 Linux 目录匹配而言，`dvwa` 不是 `DVWA`。
因此，在设置之后，如果您尝试访问该站点并收到 `404`，请考虑您将文件安装到的位置、它们相对于文档根目录的位置以及您使用的目录的大小写。
### 我浏览该站点并收到空白屏幕
[视频帮助](https://youtu.be/C-kig5qrPSA?si=wTS3Aj8fycW3Idfr&t=243)
这通常是一个配置问题掩盖了另一个问题。默认情况下，PHP 不显示错误，因此如果您在设置过程中忘记打开错误显示，任何其他问题（例如无法连接到数据库）都会阻止应用程序加载，但告诉您出了什么问题的消息将被隐藏。
要解决此问题，请确保按照 [PHP 配置](#php-configuration) 中所述设置 `display_errors` 和 `display_startup_errors`，然后重启 Apache。
### 运行 setup 时出现“Access denied”
如果您在运行 setup 脚本时看到以下内容，则意味着配置文件中的用户名或密码与数据库中配置的那些不匹配。[视频帮助](https://youtu.be/C-kig5qrPSA?si=_a4Bop505-1tXb_F&t=973)
```
Database Error #1045: Access denied for user 'notdvwa'@'localhost' (using password: YES).
```
该错误告诉您正在使用用户名 `notdvwa`。
以下错误表明您将配置文件指向了错误的数据库。[视频帮助](https://youtu.be/C-kig5qrPSA?si=_a4Bop505-1tXb_F&t=630)
```
SQL: Access denied for user 'dvwa'@'localhost' to database 'notdvwa'
```
它表示您正在使用用户 `dvwa` 并尝试连接到数据库 `notdvwa`。
首先要做的是仔细检查您认为在配置文件中输入的内容是否确实存在。
如果它符合您的预期，下一件事是检查您是否可以在命令行上以该用户身份登录。假设您的数据库用户是 `dvwa`，密码是 `p@ssw0rd`，运行以下命令：
```
mysql -u dvwa -pp@ssw0rd -D dvwa
```
_注意：-p 后没有空格_
如果您看到以下内容，则密码正确：
```
Welcome to the MariaDB monitor. Commands end with ; or \g.
Your MariaDB connection id is 14
Server version: 10.3.22-MariaDB-0ubuntu0.19.10.1 Ubuntu 19.10
Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.
Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
MariaDB [dvwa]>
```
由于您可以在命令行上连接，因此配置文件中可能有问题，请仔细检查，如果仍然无法正常工作，请提出 issue。
如果您看到以下内容，则您使用的用户名或密码错误。重复 [数据库设置](#database-setup) 步骤，并确保在整个过程中使用相同的用户名和密码。
```
ERROR 1045 (28000): Access denied for user 'dvwa'@'localhost' (using password: YES)
```
如果您收到以下内容，则用户凭据正确，但用户无权访问数据库。同样，重复设置步骤并检查您使用的数据库名称。
```
ERROR 1044 (42000): Access denied for user 'dvwa'@'localhost' to database 'dvwa'
```
您可能收到的最后一个错误是：
```
ERROR 2002 (HY000): Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)
```
这不是身份验证问题，而是告诉您数据库服务器未运行。使用以下命令启动它
```
sudo service mysql start
```
### 连接被拒绝
[视频帮助](https://youtu.be/C-kig5qrPSA?si=_a4Bop505-1tXb_F&t=444)
类似于此的错误：
```
Fatal error: Uncaught mysqli_sql_exception: Connection refused in /var/sites/dvwa/non-secure/htdocs/dvwa/includes/dvwaPage.inc.php:535
```
意味着您的数据库服务器未运行，或者您在配置文件中填入了错误的 IP 地址。
检查配置文件中的这一行，以查看数据库服务器应该在何处：
```
$_DVWA[ 'db_server' ] = '127.0.0.1';
```
然后转到该服务器并检查它是否正在运行。在 Linux 中，可以使用以下命令完成：
```
systemctl status mariadb.service
```
并且您正在寻找类似这样的东西，重要的部分是它显示 `active (running)`。
```
● mariadb.service - MariaDB 10.5.19 database server
Loaded: loaded (/lib/systemd/system/mariadb.service; enabled; preset: enabled)
Active: active (running) since Thu 2024-03-14 16:04:25 GMT; 1 week 5 days ago
```
如果它没有运行，您可以使用以下命令启动它：
```
sudo systemctl stop mariadb.service
```
注意 `sudo` 并确保如果被要求，输入您的 Linux 用户密码。
在 Windows 中，检查 XAMPP 控制台中的状态。
### 未知的身份验证方法
对于最新版本的 MySQL，PHP 无法再与其默认配置通信。如果您尝试运行 setup 脚本并收到以下消息，则意味着您的配置有问题。
```
Database Error #2054: The server requested authentication method unknown to the client.
```
您有两个选择，最简单的方法是卸载 MySQL 并安装 MariaDB。以下是 MariaDB 项目的官方指南：
。
### 数据库错误 #2002: No such file or directory
数据库服务器未运行。在基于 Debian 的发行版中，可以使用以下命令完成：
```
sudo service mysql start
```
### 错误 "MySQL server has gone away" 和 "Packets out of order"
您收到这些错误的原因可能有几个，但最可能的原因是您运行的数据库服务器版本与 PHP 版本不兼容。
这种情况最常见于您运行最新版本的 MySQL 时，因为 PHP 和它相处得不好。最好的建议是抛弃 MySQL 并安装 MariaDB，因为这不是我们可以支持的事情。
有关更多信息，请参阅：
在提交工单之前，请确保您运行的是仓库中最新版本的代码。这不是最新的发布版本，而是 master 分支中的最新代码。
如果要提出工单，请至少提交以下信息：
- 操作系统
- 您报告的错误发生后，Web 服务器错误日志中的最后 5 行
- 如果是数据库身份验证问题，请完成上述步骤并截图每一步。将这些与显示数据库用户和密码的配置文件部分的屏幕截图一起提交。
- 完整描述出了什么问题、您期望发生什么以及您尝试做了什么来修复它。“login broken” 不足以让我们了解您的问题并帮助修复它。
## 教程
我将尝试整理一些教程视频，介绍一些漏洞并展示如何检测它们以及如何利用它们。以下是我目前制作的视频：
[查找和利用反射型 XSS](https://youtu.be/V4MATqtdxss)
## SQLite3 SQL 注入
_对此的支持有限，在提出问题之前，请确保您准备好进行调试，不要简单地声称“它不工作”。_
默认情况下，SQLi 和 Blind SQLi 是针对站点使用的 MariaDB/MySQL 服务器完成的，但也可以切换为针对 SQLite3 进行 SQLi 测试。
我不打算介绍如何让 SQLite3 与 PHP 一起，但这应该只是安装 `php-sqlite3` 包并确保其已启用的简单情况。
要进行切换，只需编辑配置文件并添加或编辑这些行：
```
$_DVWA["SQLI_DB"] = "sqlite";
$_DVWA["SQLITE_DB"] = "sqli.db";
```
默认情况下，它使用文件 `database/sqli.db`，如果您弄乱了它，只需将 `database/sqli.db.dist` 复制过来覆盖它。
挑战与 MariaDB 完全相同，只是它们针对 SQLite3 运行。
## 👨💻 贡献者
感谢您的所有贡献并使该项目保持更新。:heart:
如果您有想法、某种改进或只是想合作，欢迎您贡献并参与项目，随时发送您的 PR。
_由 DVWA 团队创建_
标签：CISA项目, CTF训练, DVWA, ffuf, ffuf, HTTP工具, MariaDB, OpenVAS, PHP, Web安全, Web应用防火墙测试, XML 请求, XSS, 安全开发, 安全教育, 漏洞情报, 漏洞演练, 漏洞靶场, 网络安全, 网络安全审计, 蓝队分析, 请求拦截, 防御检测, 隐私保护