polyverse/dvwa

Polyscripted DVWA

Polyscripted DVWA是经过多脚本化处理的Damn Vulnerable Web App，其表面行为与原应用一致，但底层PHP代码被打乱。

部署多脚本化版本

1. 运行容器：docker run -p 80:80 polyverse/dvwa
2. 使用默认凭据登录：用户名admin，密码password
3. 点击"create database"按钮创建数据库
4. 再次登录，进入"DVWA Security"标签页，将安全等级设为低

演示PHP防护效果

1. 导航至侧边栏的"File Upload"标签页
2. 上传任意PHP文档（如示例hellopayload.php或php-reverse-shell.php）
3. 访问上传文件路径（如/hackable/uploads/payload.php）
4. 多脚本化版本中PHP文件会出现语法错误，而非多脚本化版本则会执行该文件，展示防护作用

注意：多脚本化版本中部分模块未添加，可能出现错误，但不影响演示，后续会更新。

非多脚本化DVWA部署

若需运行非多脚本化版本的DVWA： docker run -p 8080:80 citizenstig/dvwa 遵循上述相同流程或参考以下说明。

Damn Vulnerable Web Application Docker容器

!License

Damn Vulnerable Web Application（DVWA）是一个极易受***的PHP/MySQL Web应用，旨在帮助安全专业人员在合法环境中测试技能和工具，帮助开发者理解Web应用安全流程，以及辅助师生在受控课堂环境中学习Web应用安全。

DVWA提供多种难度级别的常见Web漏洞练习，界面简洁直观。请注意，该软件存在文档化和未文档化的漏洞，这是有意为之，鼓励用户发现尽可能多的问题。

警告：该镜像存在多种***漏洞，请勿部署到任何公共服务器。

运行镜像

需安装Docker，执行以下命令：

bash
docker run --rm -it -p 80:80 vulnerables/web-dvwa

等待镜像下载并启动后，在本地访问即可看到界面。点击"Create / Reset database"按钮生成所需配置。

默认登录凭据

• 用户名：admin
• 密码：password

设置难度等级

默认难度为"impossible"，可通过左侧菜单的"DVWA Security"项修改。

开始测试

若设置为低难度，可尝试SQL注入：在"SQL Injection"标签页的id字段输入以下查询：

sql
%' and 1=0 union select null, concat(user,':',password) from users #

还有其他漏洞可探索，尽情尝试！

关于DVWA

更多信息可访问官方网站或https://github.com/ethicalhack3r/DVWA%E3%80%82

免责声明

本程序仅用于教育目的，未经许可不得使用。作者不对因使用本程序或其衍生产品造成的任何损害（数据丢失、系统崩溃、系统compromise等）负责。使用本程序即表示您接受上述免责条款。