DVWA文件权限配置：Linux ACL与Windows访问控制列表

DVWA文件权限配置：Linux ACL与Windows访问控制列表

【免费下载链接】DVWA 项目地址: https://gitcode.com/gh_mirrors/dvw/DVWA

DVWA（Damn Vulnerable Web Application）作为一款经典的Web安全测试平台，其文件权限配置直接影响漏洞模拟效果与系统安全性。本文将从Linux ACL（Access Control List，访问控制列表）和Windows访问控制列表两个维度，详解DVWA部署过程中的权限配置要点，帮助用户在合法测试环境中精准配置文件访问权限。

权限配置基础与风险警示

DVWA的文件权限配置需严格遵循"最小权限原则"，同时确保漏洞模块能正常运行。官方文档明确警告：切勿将DVWA部署在公网服务器，因其设计初衷就是作为存在已知和未知漏洞的测试环境。

核心风险区域

DVWA中存在多个需要特殊权限配置的关键目录，错误的权限设置可能导致测试环境异常或真实安全风险：

• 文件上传功能模块：hackable/uploads/ 目录需配置为Web服务可写
• 配置文件：config/config.inc.php 需限制为仅管理员可写
• 安全声明文件：security.txt 包含安全策略声明，需确保正确访问权限

安全警示：如官方README所述，DVWA设计为"故意脆弱"的应用程序，所有权限配置均应在隔离的测试环境中进行。

Linux系统下的ACL权限配置

Linux系统通过传统的UGO（User/Group/Other）权限模型与ACL机制实现精细化权限控制。DVWA在Linux环境下的部署需重点关注Web服务用户（通常为www-data或apache）对关键目录的访问权限。

基础目录权限设置

使用以下命令配置DVWA根目录的基础权限，确保Web服务用户可读取应用文件但无法修改核心代码：

# 设置目录所有者为root，所属组为www-data
sudo chown -R root:www-data /data/web/disk1/git_repo/gh_mirrors/dvw/DVWA

# 设置目录权限为750（所有者可读可写可执行，组用户可读可执行，其他用户无权限）
sudo chmod -R 750 /data/web/disk1/git_repo/gh_mirrors/dvw/DVWA

上传目录特殊权限配置

文件上传功能模块需要Web服务用户具有写入权限，通过ACL为hackable/uploads/目录添加特殊权限：

# 为Web服务用户添加写入权限
sudo setfacl -m u:www-data:rwx /data/web/disk1/git_repo/gh_mirrors/dvw/DVWA/hackable/uploads/

# 查看已配置的ACL权限
sudo getfacl /data/web/disk1/git_repo/gh_mirrors/dvw/DVWA/hackable/uploads/

配置文件权限加固

config/config.inc.php包含数据库凭证等敏感信息，需通过ACL严格限制访问：

# 移除组和其他用户的所有权限
sudo chmod 600 /data/web/disk1/git_repo/gh_mirrors/dvw/DVWA/config/config.inc.php

# 通过ACL仅允许Web服务用户读取
sudo setfacl -m u:www-data:r-- /data/web/disk1/git_repo/gh_mirrors/dvw/DVWA/config/config.inc.php

Windows系统下的访问控制列表配置

Windows系统通过访问控制列表（ACL）和权限项（ACE）实现文件权限管理。在Windows+XAMPP环境部署DVWA时，需通过文件属性对话框或命令行工具配置NTFS权限。

图形界面配置步骤

1. 导航至DVWA安装目录，右键点击hackable/uploads/目录，选择"属性"
2. 切换至"安全"选项卡，点击"编辑"按钮修改权限
3. 添加Web服务用户（通常为"IIS_IUSRS"或"NETWORK SERVICE"）
4. 为该用户分配"写入"权限，取消不必要的权限项
5. 点击"高级"按钮，确保禁用"继承权限"以创建独立ACL

命令行配置方法

使用icacls命令为config/config.inc.php配置精细化权限：

:: 移除所有继承权限
icacls "C:\xampp\htdocs\DVWA\config\config.inc.php" /inheritance:r

:: 添加Web服务用户只读权限
icacls "C:\xampp\htdocs\DVWA\config\config.inc.php" /grant "NETWORK SERVICE":R

:: 验证权限配置
icacls "C:\xampp\htdocs\DVWA\config\config.inc.php"

跨平台权限配置对比与最佳实践

Linux ACL与Windows访问控制列表虽然实现机制不同，但核心思想一致：通过细粒度权限控制保护敏感资源，同时为功能模块提供必要权限。

权限配置对比表

权限场景	Linux ACL实现	Windows ACL实现
Web服务用户读取应用代码	chmod 750 + 默认ACL	分配"读取 & 执行"权限
上传目录写入权限	setfacl -m u:www-data:rwx	分配"写入"权限
配置文件保护	chmod 600 + 定向ACL	仅保留管理员和Web用户权限
日志文件追加权限	setfacl -m u:www-data:a	分配"追加数据"特殊权限

通用最佳实践

1. 权限最小化：仅为必要用户分配必要权限，如security.php仅需Web用户读取权限
2. 定期审计：使用getfacl（Linux）或icacls（Windows）定期检查权限配置
3. 配置备份：使用setfacl -R -b（Linux）或icacls /save（Windows）备份权限配置
4. 结合PHP配置：在php.ini中设置open_basedir限制文件访问范围

配置示例：php.ini中的open_basedir设置可限制PHP只能访问指定目录：

open_basedir = /data/web/disk1/git_repo/gh_mirrors/dvw/DVWA:/tmp/

权限配置验证与故障排查

完成权限配置后，需通过多种方式验证配置有效性，确保DVWA各功能模块正常运行同时系统安全得到保障。

验证方法

1. 文件上传测试：通过DVWA的文件上传模块上传测试文件，验证hackable/uploads/目录写入权限
2. 配置文件保护测试：尝试通过Web访问config/config.inc.php，应返回403错误
3. 命令行验证：
   • Linux：namei -l /data/web/disk1/git_repo/gh_mirrors/dvw/DVWA/hackable/uploads/
   • Windows：icacls "C:\xampp\htdocs\DVWA\hackable\uploads\"

常见问题排查

问题1：文件上传功能提示"权限被拒绝"

• 检查hackable/uploads/目录所有者和权限
• 验证SELinux策略（CentOS/RHEL）：sestatus，必要时临时关闭：setenforce 0

问题2：数据库连接失败

• 检查config/config.inc.php权限是否允许Web用户读取
• 确认数据库凭证正确性，默认配置为：

  $_DVWA[ 'db_user' ]     = 'dvwa';
  $_DVWA[ 'db_password' ] = 'p@ssw0rd';
  

问题3：Docker部署权限问题

• 检查compose.yml中的卷挂载配置
• 调整容器内用户ID：user: "1000:1000"（需匹配宿主机用户ID）

通过本文所述方法配置文件权限后，DVWA将在安全可控的环境中模拟各类Web漏洞，帮助用户有效提升Web安全测试技能。完整部署指南可参考README.md，更多高级权限配置技巧可查阅官方文档docs/DVWA_v1.3.pdf。

【免费下载链接】DVWA 项目地址: https://gitcode.com/gh_mirrors/dvw/DVWA