小皮面板装完，小皮我盯着浏览器里那个404页面愣了三秒。部署靶机DVWA靶机部署本该是小皮渗透测试入门的第一课，结果卡在环境配置上——这感觉就像学开车先修了三天发动机。部署靶机

小皮（phpstudy）这东西确实省事，小皮Apache和MySQL点两下就亮了。部署靶机但DVWA是小皮个老项目，PHP版本要求卡得死死的部署靶机。我用的小皮PHP 7.4，直接跑官方源码，部署靶机页面白得像被黑客清空了缓存。小皮查了日志才发现，部署靶机是小皮mysql_connect函数被删了——PHP 7.0以后这函数就进了坟墓，而DVWA的部署靶机旧版还在用棺材里的东西。

解决办法倒不复杂。小皮去GitHub拉最新版DVWA，或者用Docker跑现成镜像。我选了后者，因为小皮自带的MySQL端口3306已经被占用了，再改配置文件太折腾。Docker命令敲下去，镜像拉取花了三分钟，容器启动后直接映射到8080端口。浏览器打开localhost:8080，熟悉的登录界面终于出来了。

但登录进去才是真正的坑。DVWA默认密码是admin/password，点登录直接报错——数据库连接失败。我明明在小皮里建了dvwa库，用户名密码也填对了。后来发现是容器里的PHP连不上宿主机的小皮MySQL。容器网络默认是桥接模式，得用host.docker.internal代替localhost。改完config/config.inc.php里的数据库地址，刷新页面，这次看到的是绿色的“Setup/Reset Database”按钮。

点下去，表结构创建成功，安全等级默认是impossible。我切成low，先试试SQL注入。输入1' OR '1'='1，用户列表哗啦全出来了。那一刻有点恍惚——真实的网站如果这么写SQL，早被人拖库拖得底朝天了。但DVWA的价值就在这儿：它把漏洞摆在明面上，让你知道攻击长什么样，而不是在教科书里看抽象的概念。

部署完靶机，我顺手测了XSS和文件上传。low级别的文件上传居然不检查后缀名，直接传个PHP一句话木马就能执行。这要是生产环境，服务器早成肉鸡了。但玩靶机的意义不是嘲笑代码写得烂，而是理解为什么需要参数化查询、为什么上传要做白名单校验——这些教训用真实攻击路径讲一遍，比背十遍安全规范都管用。

小皮+DVWA的组合适合快速上手，但记住一点：别在真实服务器上这么干。靶机是沙盒，随便炸都行。真机要是用这套配置，等于把家门钥匙挂在门外垫子下面。部署完记得关掉小皮的面板端口，别让DVWA暴露在公网——除非你想让全网黑客来你的靶机练手。