OWASP BWA，使用全称 Broken Web Applications，教程是使用一个故意充满漏洞的虚拟机镜像。别被名字骗了，教程它不是使用什么安全玩具，而是教程每个Web渗透测试者都得过的鬼门关。我见过太多新手，使用装个Kali就觉得自己是教程黑客，结果连OWASP BWA里最简单的使用SQL注入都打不穿——这玩意儿比CTF题真实得多，因为它模拟的教程是现实中那些烂代码。

先说说怎么把它跑起来。使用去SourceForge下载那个OVA文件，教程大概1.5GB。使用用VirtualBox导入，教程别用VMware，使用兼容性有点玄学。默认账号是root，密码owaspbwa。启动后你会看到一个终端界面，上面写着IP地址。记下这个IP，浏览器访问它，就能看到OWASP BWA的主页。里面有几十个靶机应用，从老掉牙的DVWA到复杂的Mutillidae II，还有WebGoat、SQLol这些经典货色。

我最推荐新手从DVWA开始。它有个安全等级设置，从low到impossible。低等级下，SQL注入直接拼字符串，连个参数化查询都没有——你输入`' OR 1=1 -- `就能登录管理员账号。这种成就感很爽，但别沉迷。试着把等级调到medium，你会发现防护加了点东西，但绕过也不难。真正难的是high等级，它用了某些过滤函数，你得想别的招。这种渐进式的难度设计，比你在网上看一百篇教程都有用。

有个细节很多人忽略：OWASP BWA里每个应用都有对应的源码目录。比如DVWA的源码在`/var/www/dvwa`。当你卡住的时候，直接去读源码——这不是作弊，这是真实工作场景中最高效的调试方式。我当年学文件上传绕过，就是盯着源码看它怎么校验文件头，然后手动伪造一个GIF89a前缀的PHP马。这种经验，书本上根本学不到。

用这玩意儿的时候，我强烈建议配个Burp Suite。别只用浏览器开发者工具，那太浅了。Burp能拦截请求、改包重放，还能用Intruder做暴力测试。OWASP BWA里有个叫bWAPP的应用，专门测试各种HTTP头注入，配合Burp的Repeater功能，你能直观看到服务端怎么解析你伪造的请求头。这种交互感，比看任何文档都来得深刻。

说点主观的：OWASP BWA的界面丑得让人想哭，操作逻辑也老派。但这恰恰是它的优点——现实中的企业内网系统，比这更丑更乱。你在这里练熟了那些老旧的漏洞，出去面对那些还在跑PHP 5.2的遗留系统，心里就有底了。别嫌它土，土里才能刨出真东西。

最后提一句，玩这个虚拟机时，确保它只在你的NAT网络里。别手贱改成桥接模式，不然你就是在给整个局域网送人头。我见过有人把OWASP BWA暴露在公网，结果三天后被人种了挖矿木马——这本身倒是个不错的入侵检测练习，但风险太大，不推荐这么玩。