摘要： bWAPP 是一款久负盛名且极度"脆弱"的 Web 应用程序，专门用于安全爱好者、渗透测试工程师和开发人员练习漏洞挖掘与修复技术。本系列文章将带你从零开始，在已部署好 phpStudy 的欧拉（openEuler）系统上，完成 bWAPP 的安装配置，并系统掌握其中超过 100 种漏洞的原理、攻击方法与防御策略。 本篇作为系列开篇，会先深入介绍 bWAPP 的诞生背景、技术架构及其涵盖的漏洞全景，然后手把手指导你完成环境搭建和初始化配置，让这个"漏洞百出"的靶场跑起来，为后续由易到难、逐个击破的实战演练打下坚实基础。
一、为什么选择 bWAPP？------ 一个故意布满漏洞的"沙盒"
在网络安全的学习路径中，亲手在真实漏洞环境里进行攻防演练是最快进步的方式。但直接拿线上网站测试既不合法也不道德，于是各类"靶场"（Vulnerable Web Application）应运而生。bWAPP 便是其中的佼佼者，它全称为 Buggy Web Application，意为"充满 Bug 的 Web 应用"，由 MME 实验室的 Malik Mesellem 创造并长期维护。
bWAPP 设计哲学非常纯粹：把几乎所有主流的 Web 漏洞集成到一个轻量级 PHP + MySQL 应用中，并允许通过后台面板自由开关每一个漏洞。这意味着你既可以逐个攻破，也能一次性体验多种漏洞组合产生的连锁反应。它涵盖了 OWASP Top 10 的各个版本所列举的风险，还包括许多来自真实攻防场景的高危漏洞，总数超过 100 种。
与其它靶场相比，bWAPP 有其独特魅力：
-
漏洞丰富度极高，不仅覆盖常见的 SQL 注入、XSS，还包含心脏滴血（Heartbleed）、Shellshock、不安全的反序列化、XXE 注入等高级漏洞；
-
可控性强，每个漏洞都可以在管理后台独立设置难度等级（低、中、高），甚至可以配置是否开启特定防护机制；
-
代码简洁透明，全部源码可读，非常适合一边攻击一边查看代码层面的脆弱点，真正做到"知其然亦知其所以然"；
-
自包含，只要一个 PHP 环境和 MySQL 数据库就能运转，部署简单，适合本地搭建学习环境。
从本篇开始，我们将用最通俗易懂的语言，辅以海量实例，让你彻底玩转这个经典靶场。
二、bWAPP 的前世今生 ------ 从社区项目到安全培训标配
bWAPP 最早出现于 2010 年前后，作者 Malik Mesellem 是一位信息技术安全专家，他的初衷是制作一个教学工具，让他的学生在安全的隔离环境中实践 Web 渗透测试。项目一经发布，便因其丰富的漏洞集合和友好的图形界面迅速在安全社区传播开来。
早期版本基于 PHP 5 和 MySQL，漏洞数量大约 70 多个。随着 OWASP 持续更新其 Top 10 列表，以及新漏洞类型的出现（如 2014 年心脏滴血、Shellshock），bWAPP 不断被扩展。到 v2.2 版本，支持的漏洞已经超过 100 项，同时加入了多语言支持、用户登录体系、难度调节等实用功能。
bWAPP 的生命周期可以概括为几个阶段：
萌芽期：仅供内部教学使用，功能简单，漏洞数量有限；
社区爆发期：被 SourceForge 等平台收录，全球安全爱好者开始贡献反馈和翻译，漏洞种类急剧扩充；
成熟稳定期：功能冻结，文档完善，成为 OSCP、CEH 等认证考试的主流练习平台，同时也被众多大学纳入课程。
虽然近年来出现了更多现代化的靶场（如 PortSwigger 的 Web Security Academy 在线实验室），bWAPP 凭借其"本地一键部署、所有漏洞随时可测"的离线特性，依然是渗透测试新手必刷的目标。而且，它不像在线平台那样受网络限制，你可以任意修改代码、调试、用工具扫描，非常适合深入钻研。
版本说明 ：本系列文章基于 bWAPP v2.2 进行讲解，这也是目前最稳定的社区版本。你可以在其官方 SourceForge 页面或 GitHub 镜像下载到完整的源码包。
三、bWAPP 漏洞全景图 ------ 它到底有多"BUGGY"？
在动手安装之前，我们先对 bWAPP 内部的漏洞做一个概览性介绍，这样你会对即将面对的"敌人"有个整体认知。bWAPP 将漏洞分门别类地列在左侧导航菜单里，主要涵盖以下几大模块：
3.1 注入类漏洞（Injection Flaws）
这是最致命、最常见的一类漏洞，攻击者通过将恶意构造的数据作为命令或查询的一部分发送给应用程序，从而欺骗后端系统执行非预期操作。bWAPP 中包含：
-
SQL 注入（SQL Injection） ：包括 GET/POST 型注入、盲注（布尔盲注、时间盲注）、堆叠查询注入等，涉及登录表单、搜索框、用户参数等多种场景。注意：在 PHP 7 环境下，部分 SQL 注入练习会因为函数废弃而报错，必须切换到 PHP 5.6 才能正常练习。
-
OS 命令注入（OS Command Injection） ：例如执行
ping、nslookup等命令的功能点，攻击者通过拼接额外系统命令来获取服务器控制权。 -
LDAP 注入：针对使用 LDAP 协议进行身份验证或目录查询的应用，注入特殊字符绕过认证或提取敏感信息。
-
SMTP 注入：在邮件表头中注入恶意命令，实现垃圾邮件转发或钓鱼攻击。
-
HTML 注入（HTML Injection）：向页面注入恶意的 HTML 标签或属性，常被用于钓鱼、挂马等。
-
XPATH 注入：针对 XML 数据库的注入攻击，与 SQL 注入原理类似但作用于 XPATH 查询。
攻击与防御思路 ：核心在于参数化查询 和输入校验。防御注入不能依赖黑名单过滤特殊字符，而应使用预编译语句、存储过程、严格的类型检查，并对所有用户输入实施"不信任原则"，同时给予数据库账户最小权限。
3.2 跨站脚本攻击（Cross-Site Scripting, XSS）
攻击者将恶意脚本注入到正常网页中，当其他用户浏览该页面时，脚本会在其浏览器中执行，从而窃取 Cookie、会话令牌、重定向到恶意网站等。bWAPP 提供：
-
反射型 XSS (Reflected XSS)：恶意脚本通过 URL 参数、表单提交等立即"反射"给用户，需要诱导用户点击特制链接。
-
存储型 XSS (Stored XSS)：攻击载荷被永久保存在服务器（如数据库、留言板），任何用户访问相关页面都会中招。
-
基于 DOM 的 XSS (DOM-based XSS)：漏洞在客户端脚本中，通过修改页面的 DOM 环境执行恶意代码，服务器端代码可能无任何异常。
-
XSS 绕过示例 ：包括绕过简单的
<script>标签过滤、属性注入、事件处理器注入等变形技巧。
攻击与防御思路 ：防御 XSS 核心在于输出编码。对输出到 HTML、JavaScript、CSS、URL 等不同上下文的动态内容，必须进行相应转义。辅以内容安全策略（CSP）头、HttpOnly Cookie、输入验证等措施可以形成纵深防御。
3.3 失效的身份认证与会话管理（Broken Authentication）
如果身份验证、会话管理机制存在缺陷，攻击者就能冒充其他用户。bWAPP 中包含：
-
弱密码策略 ：系统允许诸如
bee/bug的极简单密码。 -
会话固定（Session Fixation）：允许攻击者预先设定一个会话 ID，然后诱使受害者使用此 ID 登录，从而劫持会话。
-
不安全的密码修改、找回功能：可能允许通过暴力破解、逻辑缺陷重设他人密码。
-
敏感 Cookie 未设置 Secure/HttpOnly 标志，导致会话 ID 易被窃取。
攻击与防御思路：强制强密码策略，使用多因素认证，服务端生成不可预测的会话 ID，登录后更换会话 ID，设置 Cookie 的安全属性，限制登录失败次数等。
3.4 敏感信息泄露（Sensitive Data Exposure）
许多 Web 应用没有对敏感数据（如密码、信用卡号）进行合适的加密保护，或者通过错误消息、调试接口泄露内部信息。bWAPP 演示了：
-
目录遍历/路径遍历（Directory Traversal） ：允许读取任意文件，如
/etc/passwd。 -
不安全的直接对象引用（IDOR）：通过修改用户 ID、文件名称等参数直接访问他人资源。
-
信息泄露：包括 PHP 信息泄露（phpinfo）、源码暴露、错误消息泄露数据库结构等。
-
服务器端请求伪造（SSRF）：让服务器向内部网络发起请求，探测内网服务。
攻击与防御思路：对所有资源访问做权限检查，杜绝路径拼接参数直接传进文件操作函数（使用白名单），统一错误页面屏蔽细节，加密存储密码（BCrypt/Argon2），传输层启用 HTTPS。
3.5 XML 外部实体注入（XXE）
如果应用解析用户提交的 XML 且未禁用外部实体，攻击者可以读取服务器本地文件、发起内网探测请求或执行拒绝服务攻击。bWAPP 里有专门的 XXE 模块，你可以在解析 XML 的功能点测试。
防御 ：最彻底的办法是禁止解析外部实体，对于 PHP，调用 libxml_disable_entity_loader(true)。
3.6 失效的访问控制（Broken Access Control）
包括垂直越权（普通用户执行管理员操作）和水平越权（用户 A 查看用户 B 的数据）。bWAPP 演示了：
-
目录浏览：通过 URL 直接访问未受保护的目录。
-
本地文件包含 (LFI) / 远程文件包含 (RFI)：通过参数引入任意文件，LFI 可执行服务器上的 PHP 文件，RFI 可实现远程代码执行。
-
权限绕过：通过修改 Cookies、隐藏字段来提升权限。
防御：采用基于角色或属性的访问控制模型，服务端必须强制执行所有敏感操作的权限校验，前端隐藏控件仅是辅助。
3.7 安全配置错误（Security Misconfiguration）
未修改默认账户密码、启用不必要的功能、错误配置 HTTP 头、暴露版本信息等都属于此范畴。bWAPP 提供了许多默认配置的弱点，方便你练习信息收集与利用。
3.8 跨站请求伪造（CSRF）
攻击者引诱用户点击链接或浏览恶意页面，从而在用户已登录的目标网站上执行非本意的操作（如修改密码、转账）。bWAPP 展示了在修改密码、发表留言等操作中缺少 CSRF Token 的场景。
防御：核心是使用随机 Token 关联用户会话，并在敏感操作时验证 Referer/Origin 头。
3.9 使用含有已知漏洞的组件
服务器上安装的软件如果存在未修补的已知漏洞，很容易被自动化扫描工具利用。bWAPP 专门集成了：
-
心脏滴血（Heartbleed）：OpenSSL 的心跳扩展漏洞，允许攻击者从服务器内存中读取 64KB 数据。
-
Shellshock：Bash 远程代码执行漏洞，通过设置 HTTP 头的特殊环境变量即可触发。
防御：保持依赖组件的版本更新，关注安全公告。
3.10 文件上传漏洞（Unrestricted File Upload）
允许用户上传可执行脚本到服务器，从而获得远程代码执行权限。bWAPP 提供多种绕过限制的上传场景：修改 Content-Type、使用双扩展名、图片马等。
防御：检查文件内容而非仅信任扩展名，将上传目录设为不可执行权限，对文件重命名，限制文件类型白名单。
3.11 其他高级漏洞
-
不安全的反序列化：如果应用反序列化攻击者提供的恶意对象，可能导致代码执行。
-
服务器端包含注入（SSI Injection）：注入服务端包含指令执行任意命令。
-
点击劫持（Clickjacking）：使用透明 iframe 覆盖网页，诱骗用户点击。
以上模块几乎囊括了 Web 安全领域中最核心的知识点。在后续的文章中，我们将按照"由易到难"的顺序，把每个漏洞的攻击步骤、利用工具、源码分析和防御代码逐一呈现，保证零基础也能看懂并实操。现在，让我们先把靶场环境搭建起来。
四、环境搭建 ------ 在欧拉系统上用 phpStudy 部署 bWAPP
欧拉系统已经安装好了 phpStudy（小皮面板 Linux 版），接下来的任务就是获取 bWAPP 源码，将其放到 phpStudy 的网站目录下，配置数据库连接，然后运行安装向导。整个过程大约只需十分钟，跟着做就不会出错。
特别提醒 ：因为 bWAPP 对 PHP 7.x和8.x 的兼容性不佳（尤其 SQL 注入模块会报错），请务必在 phpStudy 中将 PHP 版本切换为 5.6。
4.1 确认 phpStudy 环境
首先，确保 phpStudy 服务正在运行。浏览器访问面板地址，登录后可以看到 Nginx/Apache 和 MySQL 的状态。默认 phpStudy 网站根目录一般为 xp/www/，我们就在此目录下放置 bWAPP。
4.2 下载并放置 bWAPP 源码
登录欧拉系统终端，进入：cd xp/www/
下载 bWAPP v2.2 源码包：
wget https://sourceforge.net/projects/bwapp/files/bWAPP/bWAPPv2.2/bWAPPv2.2.zip/download -O bwapp.zip如果速度慢，也可以用 GitHub 镜像：
wget https://github.com/ethicalhack3r/bWAPP/archive/refs/tags/v2.2.zip -O bwapp.zip
或者手动下载，拷贝上去
解压并重命名：
unzip bwapp.zip
# 解压后重命名
mv bWAPP bwapp为保证权限正常，执行：
chown -R www:www /xp/www/bwapp/
chmod -R 755 /xp/www/bwapp/
4.3 配置数据库连接文件
bWAPP 的数据库配置文件位于 bwapp/admin/settings.php：
cd /xp/www/bwapp/admin/
vim settings.php找到数据库配置段落，按实际情况填写：
$db_host = "localhost";
$db_username = "root"; // 或者你创建的专有用户
$db_password = ""; // 如果 root 无密码则留空字符串，切不可省略引号
$db_name = "bwapp"; // 数据库名称，可自定义
重要提示：
-
这里填写的数据库
bWAPP可以事先不存在 。如果你的 MySQL 账户拥有创建数据库的权限，bWAPP 的安装脚本会自动创建该数据库并导入表结构；如果账户权限不足，则需要手动在 MySQL 中创建空数据库CREATE DATABASE bWAPP;。为保险起见，新手可以先手动创建，但完全遵循"直接访问 install 页面点击 here"也是可行的。 -
密码字段千万不能写成
$db_password = ;，必须使用一对引号，哪怕没有密码也要写""。
保存退出后，bWAPP 就能靠这份配置连接 MySQL 了。
4.4 创建网站
4.5 运行安装向导
现在浏览器访问 http://你的服务器IP:4096/install.php 。
点击页面下方的 "click here to install bWAPP" 按钮，脚本会自动建库（如权限允许）、建表并插入初始数据。
几秒后页面显示安装成功。
安装失败常见问题：
-
无法连接数据库：检查 settings.php 中的用户名、密码，确保 MySQL 服务已启动。
-
创建数据库失败 ：手动创建一个空数据库（如
CREATE DATABASE bWAPP;）即可。 -
页面空白或报错：多为 PHP 版本问题，确认已切换到 PHP 5.6。
4.56快速体验：登录并调整难度
默认用户密码为：bee/bug，点击Login进行登录，你会看到顶部多出一行管理菜单。点击 "Security Level" 可以统一切换漏洞难度（低、中、高）。低难度下几乎无任何防护，适合初学；高难度会加入一些过滤函数，模拟更真实的对抗环境。
默认登录后，左侧和右上侧是分类清晰的漏洞目录树，点击任意一个，然后点击Hack提交即可进入练习。例如点击 "SQL Injection (GET/Search)" ，你将看到一个电影搜索框，但是一般输入后体提交浏览器不认，所以直接在地址栏的title=后边输入 ' OR 1=1 --+ 就能直观感受到注入的威力。
你还可以通过 "Create User" 添加更多测试用户来体验权限控制等。
五、总结
通过本章的系统学习与实操部署，我们完整厘清了bWAPP这款"漏洞百出"的开源Web漏洞演练应用的发展历程与核心学习价值，彻底理解了它的优势与实战意义。同时，我们全局俯瞰了bWAPP涵盖的100+各类Web漏洞模块体系，对注入、跨站、文件操作、权限绕过、协议攻击等主流漏洞类型建立了完整且直观的感性认知，为后续分项深耕攻防原理、实操演练筑牢了全局认知基础。依托欧拉系统与PHPStudy环境，我们从零完成了bWAPP靶场的完整部署、数据库配置、权限调试与环境适配，精准锁定并配置了适配靶场全模块稳定运行的PHP5.6版本，彻底解决了高版本PHP兼容报错问题，实现靶场零报错正常运行。与此同时，我们熟练掌握了bWAPP默认登录凭证bee/bug，能够独立访问靶场全部功能模块、重置漏洞场景与配置攻防环境。如今，功能完备、漏洞全面的bWAPP靶场已成功搭建完毕，靶场大门正式敞开，基础环境与前置认知全部落地，而真正循序渐进、由浅入深的漏洞攻防学习、原理剖析、实战攻击与安全防御搭建挑战，才刚刚正式开启。
**重要声明：**本教程及文中所有操作仅限于合法授权的安全学习与研究。作者及发布平台不承担因不当使用本教程所引发的任何直接或间接法律责任。请务必遵守中华人民共和国网络安全相关法律法规。
如果这篇文章帮你解决了实操上的困惑，别忘记点击点赞、分享 ，也可以留言告诉我你遇到的其它问题，我会尽快回复。你的关注是我坚持原创和细节共享的力量来源，谢谢大家。