owasp broken web apps

第一次跑 OWASP Broken Web Apps（简称 BWA）的人，大概率会在登录页愣住。它不像 DVWA 那样给你一个清爽的表单，而是直接甩出一份"应用清单"，从 jQuery 到 WordPress，从 Peruggia 到 Mutillidae，密密麻麻几十个靶场排在那里。你点哪个都能打，但前提是得先搞明白这台虚拟机的网络配置——它默认的 IP 是 192.168.56.101，host-only 模式，跟你的攻击机不在一个网段就等着干瞪眼吧。

BWA 本质上是一个 Ubuntu 虚拟机镜像，打包了一堆故意留有漏洞的 Web 应用。跟单独装 DVWA 或 bWAPP 不同，它的价值在于"一站式"。你不需要一个个去配 PHP 环境、导数据库、改配置文件。下载 OVA 文件，导入 VMware 或 VirtualBox，开机，浏览器访问，完事。这种省事程度对于教学场景来说很关键——我见过太多培训课上，学员光搭环境就耗掉一上午，真正动手测试的时间反而没剩多少。

里面比较值得花时间的几个靶场，我按自己的使用频率排一下。Mutillidae 排第一，覆盖面广，OWASP Top 10 几乎每一项都有对应关卡，而且它的提示系统做得克制，不会直接把答案喂给你。WebGoat 偏 Java 技术栈，适合想练 Java 反序列化或者 Spring 相关漏洞的人。DVWA 大家都熟，难度分级清晰，新手可以从 low 开始慢慢往上调。还有一个叫 "Damn Vulnerable Web Services" 的，专门练 API 漏洞，REST 和 SOAP 都有涉及，这个在同类靶场里不太常见。

有个细节很多人没注意：BWA 里的应用不是孤立的，它们共享同一个 MySQL 实例和 Apache 服务。这意味着你在 A 应用里学到的注入技巧，换个入口在 B 应用里同样能验证。这种交叉验证对理解漏洞本质很有帮助——你会发现 SQL 注入的核心不在于某个特定应用的代码怎么写，而在于参数拼接这个模式本身。

当然它也有让人头疼的地方。镜像最后一次大更新是 2016 年左右，里面的 WordPress 版本老得离谱，有些应用甚至在 PHP 7 下跑不起来。你要是想拿它练最新漏洞，基本没戏。另外它的文档写得比较散，官网上的说明停留在"能用"层面，真遇到网络不通或者服务起不来，还得去翻社区帖子。我自己的经验是，导入虚拟机之后先别急着开打，用 ifconfig 确认 IP，再 ping 一下网关，把网络层的事理顺了再碰应用层。

话说回来，拿 BWA 做入门训练仍然划算。它帮你省掉环境搭建的重复劳动，让你把精力集中在"怎么发现漏洞、怎么利用漏洞"这件事上。等你把里面的靶场刷得差不多了，再去搭单独的、更新更快的靶场环境，那时候你对整个流程已经有了肌肉记忆，效率完全不一样。