DVWA（Damn Vulnerable Web Application）是靶场我见过最适合新手入门的漏洞靶场。它不搞花架子，搭建直接把SQL注入、教程XSS、靶场文件上传这些经典漏洞摆在明面上，搭建还贴心地分了低、教程中、靶场高三个安全等级。搭建搭建它不需要高端服务器，教程一台能跑PHP的靶场电脑就够，五分钟能跑起来。搭建

先准备环境。教程DVWA是靶场PHP写的，数据库用MySQL。搭建Windows下我推荐用phpStudy或者XAMPP这类集成包，教程省去配置环境的痛苦。Linux用户直接apt装LAMP也行，但别在生产环境搞这个，靶场本来就是用来“破坏”的。

下载DVWA源码，GitHub上搜“dvwa”就能找到，解压到Web根目录。比如XAMPP就是htdocs文件夹，改个名字叫dvwa方便访问。打开浏览器输入localhost/dvwa，会看到安装引导页。这里有个坑——PHP版本别太高，8.0以上容易报错，7.4最稳。

接着是配置文件。把config目录里的config.inc.php.dist复制一份，改名成config.inc.php。用记事本打开，改数据库账号密码，默认root和空密码就能用。如果你改了MySQL密码，记得同步改这里。有个细节，文件里有个默认密钥，不用管它，保持原样就行。

点击页面底部的“Create / Reset Database”按钮，等几秒，数据库就自动建好了。这时候跳转到登录页，默认账号是admin，密码是password。进去以后你会看到十个左右的漏洞模块，每个都带源码审计功能——对新手来说，边攻击边看源码，理解速度翻倍。

我说个实在的观察：很多人搭完靶场就急着打SQL注入，结果连low级别的都卡住。问题往往出在没看页面右侧的“PHPIDS”开关——DVWA自带入侵检测系统，开着它，很多payload会被拦截。新手阶段直接关掉，先玩明白漏洞逻辑再说。

再提个容易忽略的点：靶场跑起来后，PHP的display_errors建议打开。DVWA有些漏洞触发时会抛数据库错误，这些报错信息本身就是解题线索。在php.ini里搜display_errors，改成On，重启服务就行。

搭建过程中最烦人的问题是数据库连接失败。八成是MySQL没启动，或者密码没配对。用phpStudy的话，检查mysql服务是不是绿色状态。Linux用户记住，先启动mysql服务再访问安装页，顺序反了会报错。

如果你用的是Mac，MAMP也能跑，但要注意端口冲突。默认80端口被占用了就改8888，访问地址记得带端口号。DVWA对端口不敏感，只要PHP和数据库通，它就能跑。

最后说句掏心窝的话：靶场搭好只是开始，别急着炫技。把每个漏洞的源码读一遍，搞明白low和medium级别的差异，比盲打一百遍都管用。我见过太多人连代码都看不懂就喊着“拿shell”，那跟背答案没区别。

跑起来之后，你会在“DVWA Security”页面看到安全等级切换。从low开始，逐步往上调，你会发现同样一个漏洞，修修补补后攻击难度直线上升。这个过程，比任何网络安全课程都来得直观。