💡 從理論走向實戰：為什麼需要 DVWA？
在前幾天的文章中，我們陸續介紹了 OWASP Top 10 的各項核心漏洞（如 SQL 注入、XSS、越權訪問、SSRF 與檔案上傳）。然而，「紙上得來終覺淺」，資安是一門極度重操演練（Hands-on）的技術。

DVWA（Damn Vulnerable Web App） 是一個用 PHP / MySQL 編寫的網頁應用程式，專門設計來給資安研究人員、滲透測試新手練習各種網頁漏洞。它最棒的地方在於提供了多種安全等級（Low、Medium、High、Impossible），讓學習者能夠觀察「漏洞是如何產生的」以及「修補後的程式碼長什麼樣子」。

今天，我們就來聊聊在 DVWA 完整通關過程中的核心心得與實戰反思！

🛠️ DVWA 綜合通關的四大收穫與挑戰
在把 DVWA 從 Low 逐步調高到 High 等級的過程中，有幾個關鍵的體悟非常深刻：

1. 防禦機制的逐步升級（從字串過濾到正規表達式）
   Low 等級： 幾乎毫無防禦，輸入什麼就執行什麼（例如直接拼接 SQL、直接輸出 XSS）。這階段讓我們學會最基礎的攻擊 Payload。

Medium 等級： 開發者開始加入簡單的黑名單或字串取代（例如用 str_replace 把 濾掉）。但這種黑名單通常漏洞百出，可以透過大小寫混淆（如 ）或雙寫繞過。

High / Impossible 等級： 採用了嚴格的白名單、參數化查詢（Prepared Statements）或正規表達式（Regex）。這時會發現原本百試百靈的攻擊手法全失效了，深刻體會到「標準化安全框架」的重要性。

2. 串聯漏洞（Chaining Vulnerabilities）的威力
   在真實世界的滲透測試中，很少單靠一個高危漏洞就能直接拿下系統。通常需要漏洞串聯（Vulnerability Chaining）：
   例如：先透過資訊洩漏（Security Misconfiguration）找到後台登入路徑，接著用弱密碼爆破（Hydra）拿到普通帳號，再利用水平越權（IDOR）取得其他用戶個資，最後透過不安全的檔案上傳拿到 WebShell。DVWA 的通關過程正是這種實戰思維的最佳模擬。

3. Burp Suite 成為不可或缺的雙手
   在挑戰 CSRF、檔案上傳與身份驗證爆破時，瀏覽器本身的限制往往很多。透過 Burp Suite 攔截、修改、重送（Repeater）以及自動化爆破（Intruder），才能真正看清 HTTP 請求與回應的真實面貌。