企业官网建设流程全解析

DVWA靶场我一直觉得是Web安全入门最值得花时间的那个“老朋友”，尤其是文件上传这个模块，三个等级从裸奔到带锁，基本把文件上传漏洞的攻防套路演了一遍。你把这个模块彻底打通，再去碰真实项目里的上传点，心里会踏实很多。这篇文章我就从搭建靶场开始，把Low、Medium、High三个等级逐个拆开，讲清楚它们的校验逻辑、绕过思路和防御手段。不管你是刚碰安全的学生，还是已经工作几年的开发，只要想系统搞懂文件上传漏洞，这篇都值得你泡杯茶慢慢看。

1. 文件上传漏洞为什么值得死磕：再不理解就亏了

1.1 “一个上传点”能捅出多少篓子

很多朋友第一次接触文件上传漏洞时，觉得它不过是“传个文件”而已，能有什么大事。实际上，文件上传漏洞长期霸榜OWASP Top 10里的“高风险漏洞”队列，核心原因在于它常常直接通向服务器权限。你想想，一个Web应用只要开放了上传功能，用户就往服务器上丢文件，如果服务端没有严格限制文件类型、文件内容、文件存储路径，那攻击者就能把一个“可执行文件”丢到服务器上。

这里的可执行文件，最常见的就是PHP一句话木马，比如经典的<?php @eval($_POST['cmd']); ?>。上传成功后，攻击者只需要用一个客户端工具连接上去，就能以Web容器的权限执行系统命令。要是站点本身以root或system权限运行，那整台服务器基本就交代了。就算权限不高，通过内网横向渗透，影响范围也会迅速扩大。

更隐蔽的是，文件上传漏洞经常和XSS、文件包含、目录穿越、命令执行等漏洞结合。比如攻击者上传一个带恶意脚本的图片，配合存储型XSS打到管理员浏览器；或者上传一个图片马，再配合文件包含漏洞把它解析执行。我在实际测试中见到过不少案例，业务方只修“上传类型校验”，却忽略了后续的文件存储和解析环境，结果被封堵的思路换个姿势又进来了。所以，文件上传不只是“上传”那一步的问题，而是一条完整链路的问题，理解这一点你才会真正重视它。

1.2 DVWA这个靶场为什么适合练习文件上传

DVWA（Damn Vulnerable Web Application）是一套开源的PHP+MySQL靶场应用，内置了SQL注入、XSS、命令执行、文件上传等常见漏洞。它的设计思路特别对新手友好：同一个漏洞，提供低、中、高三个安全等级，让你直观感受“校验强度不同，攻击成本就不同”。

文件上传模块在DVWA里是一个独立的页面，可以直接上传文件，然后去hackable/uploads/目录确认是否上传成功。三个等级的代码逻辑从几乎不设防，到加MIME校验，再到文件头校验+随机文件名，刚好覆盖了Web应用中最常见、也最容易被开发者写错的三类防护方案。你把这些代码读懂了，再去理解真实站点的上传防护，基本上就举一反三了。

还有一点很加分：DVWA的源码托管在公开的代码托管平台上，下载和部署都不费劲，整个环境可以完全跑在本地，不会对任何真实站点造成影响。这也是我一直强调的，学Web安全一定要有自己的实验环境，靶场就是最好的练手对象。把DVWA里的文件上传三个等级过完，你对“黑名单校验为什么不可靠”“文件头校验怎么绕过”“内容检测和随机文件名如何配合”这些问题，就会有真真切切的手感。

2. 环境准备：手把手把DVWA靶场跑起来

2.1 最简单的部署方式：本地集成环境

DVWA本身是PHP写的，所以第一步需要有一个能跑PHP和MySQL的环境。很多新手会纠结用哪种组合，我的建议是从简单出发：Windows下用phpstudy，macOS下用MAMP，Linux下直接用LAMP或者Docker。这里我用phpstudy举例，因为它在国内用的人多，踩坑资料也好找。

拿到phpstudy之后，把Apache和MySQL启动起来，然后在网站根目录（默认是WWW目录）下把DVWA源码放进去。下载方式很直接，去DVWA的GitHub仓库克隆或者直接下载ZIP包。下载完成后解压，把文件夹重命名成dvwa，这样访问地址就是http://127.0.0.1/dvwa，干净清爽。

接下来最关键的一步是改配置文件。DVWA提供了一个配置文件模板，叫config/config.inc.php.dist，你需要把它复制一份，重命名为config.inc.php。打开这个文件，把数据库账号密码改成你本地MySQL的实际账号密码。phpstudy的MySQL默认账号一般是root，密码默认是root，如果你自己设过密码就用自己的。

这一步看着简单，但大部分人第一次部署失败都栽在这里。改完配置，浏览器输入http://127.0.0.1/dvwa/setup.php，进入安装页面。页面里会检查PHP扩展、MySQL连接状态等，最好逐项确认都是绿色“可用”。往下拉会看到“Create / Reset Database”按钮，点击后它会帮你初始化好数据库，然后自动跳到登录页。默认用户名是admin，密码是password，进去之后就把默认密码改了，免得之后做实验时Session串味。

2.2 部署中的高频坑和排错经验

我帮人排查DVWA部署问题时，遇到过最多的几类情况：

第一，页面打开是404。这个大概率是源码放的位置不对，或者Apache的站点根目录没指向你放DVWA的目录。你在phpstudy的“网站”设置里看一眼，确保WWW目录路径和实际一致就行。

第二，数据库初始化失败。表现为setup页面点了“Create / Reset Database”后，页面卡住或者直接报错。这种情况先检查config/config.inc.php里的数据库账号有没有权限创建库，另外确认MySQL服务已经正常启动。如果还是不行，手动在MySQL里创建一个名为dvwa的库，再回来点重置数据库。

第三，PHP版本过高导致兼容问题。DVWA毕竟是老项目，高版本PHP（比如PHP 8.2以上）偶尔会触发一些废弃函数警告，甚至直接白屏。建议用PHP 7.4或PHP 8.0的版本，phpstudy里可以一键切换PHP版本，非常方便。

第四，登录后页面乱码或功能异常。这个多半是配置里$_DVWA[ 'recaptcha_public_key' ]和$_DVWA[ 'recaptcha_private_key' ]没填。不影响文件上传功能，但页面上会有Google的验证码控件报错，直接忽略或者临时填个假key都可以。

攻克这几个坑以后，你的DVWA靶场就活了。登录进去找到“File Upload”模块，就可以开始三个等级的通关之旅。

2.3 准备好Burp Suite和AntSword等工具

光有DVWA还不够，攻防练习还需要几把趁手的工具。

Burp Suite是必须有的，它用来拦截和修改HTTP请求。文件上传的Medium等级，就是要靠Burp拦截后把Content-Type改掉，从而骗过服务端的MIME校验。社区版就够用，不用急着上专业版。

蚁剑（AntSword）是连接一句话木马的工具，用来验证上传的PHP文件能否真正执行。作为安全学习者，请务必清楚一件事：以上所有工具和一句话木马，只能用于本地靶场和合法授权的测试环境，绝对不能拿去打真实网站，这个底线不能破。

3. Low等级实战：连防线都没有的“裸奔”靶子

3.1 先看Low等级源码，再说怎么打

Low等级是整个DVWA文件上传模块的最基础关卡，也是我个人教学中必讲的一课。点击页面右上角的“View Source”，你可以直接看到处理上传请求的PHP代码。Low等级的逻辑简单到令人怀疑人生：

<?php if( isset( $_POST[ 'Upload' ] ) ) { $target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { echo 'Your image was not uploaded.'; } else { echo "{$target_path} succesfully uploaded!"; } } ?>

这段代码做了什么？它直接把用户上传的原始文件名用basename()处理了一下，然后拼接到服务器目录hackable/uploads/后面，再调用move_uploaded_file()把临时文件挪过去。仅此而已。

整个过程里，既没有检查文件扩展名，没有检查文件内容，没有检查MIME类型，没有限制文件大小，也没用随机文件名。换句话说，用户传什么，它就收什么，妥妥的“裸奔”状态。

3.2 用一句话木马打通Low等级

理解了代码逻辑，攻击思路就非常清晰了。我直接创建一个文本文件，名字叫shell.php，里面的内容就是最常见的一句话木马：

<?php @eval($_POST['pass']); ?>

这里解释一下@eval($_POST['pass'])的含义：eval()是PHP中可以把字符串当代码执行的函数，$_POST['pass']是从POST请求里读取参数pass的值。组合起来，就是“我传什么代码，服务器就执行什么代码”，相当于给服务器放了一个后门。注意，@符号是用来抑制错误信息回显的，避免执行错误时暴露服务器内部路径。

然后在DVWA的File Upload页面，点击“浏览”选择这个shell.php，点击“Upload”上传。页面回显的路径会类似http://127.0.0.1/dvwa/hackable/uploads/shell.php，这代表文件已经成功落在服务器上了。到这里，Low等级就算打通了，接下来是验证环节。

打开AntSword，在“数据管理”里右键添加数据：

• URL填写：http://127.0.0.1/dvwa/hackable/uploads/shell.php
• 连接密码填写：pass
• 编码器和连接类型保持默认即可

添加完成后双击连接，如果一切正常，你会进入蚁剑的文件管理界面，能看到服务器上的文件列表，还能执行命令。这就意味着你通过文件上传漏洞，拿到了服务器权限。整个流程从上传到连接，前后用不了两分钟，Low等级的核心就是“无校验+直接上传可执行文件”。

我这里必须加一句黑体提示：以上操作只可能在DVWA靶场里做，现实中未经授权对任何系统做此类测试都是违法的。

4. Medium等级实战：MIME检查形同虚设

4.1 读懂Medium等级的校验逻辑

Medium等级相比Low等级，终于有了一点防护意识。先看源码里的关键部分：

<?php if( isset( $_POST[ 'Upload' ] ) ) { $target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) && ( $uploaded_size < 100000 ) ) { if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { echo 'Your image was not uploaded.'; } else { echo "{$target_path} succesfully uploaded!"; } } else { echo 'Your image was not uploaded.'; } } ?>

Medium等级新增了两道校验：第一是检查上传文件的MIME类型，必须是image/jpeg或image/png；第二是限制文件大小，不能超过100000字节（约97KB）。看起来有模有样，但它犯了一个很经典的错误：它检查的是客户端提交的$_FILES['uploaded']['type']，而这个值来源于HTTP请求头里的Content-Type字段，完全是由客户端控制的。

服务端代码里压根没有校验文件名后缀，也没有校验文件真实内容，这就导致原本Low等级的shell.php，只要把请求里的Content-Type改成image/jpeg，就能继续畅通无阻。

4.2 用Burp改包绕过Medium等级

实操时有两种方式可以过Medium。第一种是直接构造一个合法的图片扩展名上传，但这样没法执行PHP代码。第二种就是我们真正要用的思路：让服务端以为它是图片。

具体操作是这样的：在DVWA页面里，选择之前的shell.php，正常点击上传。同时打开Burp Suite的Proxy拦截功能，确保请求被抓到。Burp的默认监听地址是127.0.0.1:8080，需要把你的浏览器代理指向它。

拦截到的POST请求里，你会看到类似这样的片段：

POST /dvwa/vulnerabilities/upload/ HTTP/1.1 Host: 127.0.0.1 ... -----------------------------7e0d7e2d2c Content-Disposition: form-data; name="uploaded"; filename="shell.php" Content-Type: application/x-php

关键是第二行：Content-Type: application/x-php，这就是服务端读取到的$_FILES['uploaded']['type']。我把它改成image/jpeg：

Content-Disposition: form-data; name="uploaded"; filename="shell.php" Content-Type: image/jpeg

注意，这里filename保持shell.php不变，因为Medium等级不检查扩展名。改完之后，点击Burp的“Forward”把请求发出去。回到DVWA页面，会看到上传成功的提示。再到AntSword里用原来的URL和密码连接，依然是顺畅进入。

我实测过很多次，Medium等级看似比Low多了一道关卡，实际上只是多了“用Burp改一个字段”的操作。很多开发者以为设置了Content-Type校验就万事大吉，却不知道这个参数是客户端随便改的。这个案例也是面试时很喜欢问的考点，你能把原理讲清楚，面试官一般都会点头。

5. High等级实战：文件头校验和随机名也拦不住

5.1 High等级源码里藏着哪些心眼

High等级明显比前两个级别费心思。继续看源码的关键逻辑：

<?php if( isset( $_POST[ 'Upload' ] ) ) { $target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; $uploaded_ext = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; $uploaded_tmp = $_FILES[ 'uploaded' ][ 'tmp_name' ]; if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) && ( $uploaded_size < 100000 ) && getimagesize( $uploaded_tmp ) ) { if( file_exists( $target_path . $new_name ) ) { $new_name = md5( rand() . $uploaded_name ); } else { $new_name = md5( rand() . $uploaded_name ); } move_uploaded_file( $uploaded_tmp, $target_path . $new_name ); echo "{$target_path} succesfully uploaded!"; } } ?>

这段代码里出现了三个关键变化：

第一个变化是检查文件扩展名，并且用strtolower()把后缀转成小写，白名单只允许jpg、jpeg、png。这意味着你不能直接传shell.php了，至少名字上得“像”图片。

第二个变化是调用getimagesize()函数。这个函数会尝试读取文件头信息，验证它是不是一张真实图片。如果是伪造的图片马，这一关也能让服务器确认它“确实”含有图片数据。

第三个变化最有意思：上传成功后，文件名被改了，变成md5(rand() . $uploaded_name)的哈希值。这意味着即使你上传了一张图片马，也几乎无法预料它最终的存储文件名。如果把文件改名换成不可预测的哈希，攻击者就不知道怎么去访问它，也就没办法执行里面的恶意代码。

综合来看，High等级的防护思路从“拦截非法文件”升级成了“验证+改名的组合拳”，已经接近很多真实Web应用的防护策略。但DVWA既然设置了这一关，自然就留有破解思路。

5.2 用图片马配合文件包含漏洞完成High等级

High等级的核心难点有两个：一是让上传文件“看起来”是图片，二是拿到被改名后的文件路径。对应解法分别是图片马和文件包含漏洞。

第一步，制作图片马。以最简单的PNG图片马为例，找一个正常的shell.png，在Linux下用命令：

echo '<?php @eval($_POST["pass"]); ?>' >> shell.png

Windows用户可以用Copy命令：

copy 1.png /b + shell.php /a shell.png

这条命令的思路是把普通图片和PHP代码拼接到一个文件里。因为PNG的头部已经通过getimagesize()的检查，而文件的末尾又追加了PHP代码，只要服务器用PHP解析这个文件，末尾的代码就会执行。

第二步，在DVWA的File Upload页面把这个图片马上传上去。由于扩展名是png，文件头也是正常的PNG图片结构，大小也没超标，服务端会接受并把它重命名成一个随机哈希文件。看到上传成功的提示后，你需要打开DVWA的“File Inclusion”模块。

文件包含漏洞是同一个靶场里的另一个经典漏洞。你可以通过URL参数去包含服务器上的文件，比如访问：

http://127.0.0.1/dvwa/vulnerabilities/fi/?page=../../hackable/uploads/xxxx.png

这里的xxxx.png就是你上传后那个随机文件名。如果你不知道怎么知道那个随机名，可以在DVWA上传成功页面的源码里找，响应内容中会返回存储路径。拿到路径后，再用文件包含的方式去访问，服务器的PHP引擎就会执行图片末尾的PHP代码。用AntSword连接：

• URL填写：http://127.0.0.1/dvwa/vulnerabilities/fi/?page=../../hackable/uploads/xxxx.png
• 密码：pass

连接成功后你就再次拿到了Shell权限。这个方法的核心逻辑是“不直接访问文件，而是借助其他漏洞把图片马解析成PHP执行”，也是真实环境中非常经典的组合攻击手法。

5.3 High等级还有什么细节需要注意

我实际操作High等级时，踩过几个坑，写出来给大家避雷。

第一个坑是图片马的文件大小。如果追加的PHP代码过长，会让整个文件超过100000字节的限制，上传直接失败。所以代码尽量精简，有时候一句<?php @eval($_POST['pass']); ?>就够了，实在不行用短标签<?= @eval($_POST['pass']); ?>配合short_open_tag开启也能生效。

第二个坑是文件包含的路径计算。DVWA的目录结构里，fi模块的当前目录离hackable/uploads/有几层，你需要用../../正确地回到上级目录。路径少一层或者多一层，包含就会失败，页面会报错或者直接空白。

第三个坑是某些PHP环境会压缩图片或重编码上传图片，导致你在文件末尾追加的代码被吃掉。这种情况在高版本PHP配合部分图片处理库时会出现。如果遇到了，可以换一张结构更简单的图片，或者调整追加方式，再或者直接用PHP原生环境关闭图片重写功能。

把这些细节处理好，High等级才算真正拿下。打到这一步，你应该能明显感受到攻击者和防御者之间的“拉锯战”：防御方每加一层校验，攻击方就多一条绕过路径，而真正的安全，永远是把几套方案组合起来，而不是依赖单点防护。

6. 防御视角：这份修复清单建议直接抄走

6.1 服务端校验到底该做哪几件事

每次在DVWA里通关一个等级，我都会提醒自己：把攻击打明白，是为了在写代码时知道怎么防。下面这几条防御措施，是在DVWA源码基础上，结合真实项目经验总结出来的，可以说是“反套路”压箱底清单。

第一条，也是最重要的一条：用白名单校验文件扩展名，而且必须结合服务端真实路径来处理。很多代码用$_FILES['uploaded']['name']直接拿扩展名做校验，但文件名是用户可控的，不能全信。应该同时考虑pathinfo()函数得到的真实扩展名，并且把允许的扩展名明确列入白名单，比如只允许jpg、jpeg、png、gif。同时拒绝一切带“可执行”特征的后缀，比如php、phtml、php3、php5、pht、shtml、cgi、asp、aspx、jsp。黑名单思路不推荐，因为绕过的后缀种类太多，大概率堵不完。

第二条，严格校验文件内容，而不只是后缀。DVWA的High等级已经用了getimagesize()去验证图片头，这算及格。但更稳妥的做法是使用图像处理库对上传文件重新编码，比如用PHP的imagecreatefromjpeg()等函数重新生成图片，这样图片本身的恶意代码会被破坏，相当于从源头把“图片马”掐死。

第三条，对存储文件名做随机化处理。像DVWA High等级那样用md5(rand())改名，从安全角度是明智的。即使文件成功上传，攻击者也猜不到访问路径。再进一步，可以把上传文件放到Web根目录之外的目录，通过专门的下载脚本去读取文件，这样就算有人上传了恶意文件，也无法直接通过URL访问到它。

第四条，控制执行权限。服务器配置上，上传目录不应该有执行PHP的权限。比如在Nginx或Apache配置里，对hackable/uploads/目录全部设置为“禁用PHP解析”。这是挡死后门的关键手段，即便攻击者上传了包含PHP代码的文件，放在这个目录里它也只会被当作纯文本输出，不会被执行。

6.2 上传点常见的XSS风险也要一起修

文件上传除了直接让你执行代码，还经常成为存储型XSS的入口。DVWA里没有专门展示这种风险，但你在真实网站的参数上传功能中很常见：用户传一个SVG文件，里面包含<script>标签，其他用户打开该图片时脚本就会执行。

这类问题的修复方式，是在上面扩展名白名单和图片重编码的基础上，再加上一个关键动作：上传文件时对文件名、文件类型、文件大小做全面校验，同时在展示用户上传内容时，给响应头加上Content-Disposition: attachment之类的强制下载标识，防止SVG、HTML这类文件在浏览器中直接渲染。

另外，存储型XSS的修复，可以结合输出编码来做。很多框架内置的模板引擎自带HTML实体编码，确保<script>不会被当作标签执行。不要把用户原始上传的文件名直接反射到页面里，而是先做一层HTML编码，再输出。这一步虽然看起来不起眼，但能堵掉不少坑。

6.3 从DVWA等级看真实防御的进化路线

把DVWA的三个等级连起来看，其实就是一个Web应用安全防御的进阶路线图。

Low等级对应的是完全没有任何安全意识的年代，“能跑就行”是很多老代码的写照。Medium等级代表很多团队意识到要校验，但只做了“表面功夫”的阶段，校验用户给的内容而不是服务端内容，很容易被绕过。High等级就已经逐渐接近攻防平衡的现实状态，多项校验叠加、随机文件名、最小权限执行，这些思路在真实站点里都是加分项。

但现实里永远不存在“绝对安全”。DVWA的High等级依然能被图片马+文件包含的组合拳打穿，恰恰说明一个道理：安全防护必须是分层、立体、互相制约的。上传校验、目录权限、解析规则、整体架构，任何一环缺失都可能让前面的努力白费。

7. 常见问题速查与通关心得

7.1 文件上传练习中的高频报错汇总

这三个等级练下来，加上平时帮朋友们解决各种卡壳问题，我把高频报错整理成一张速查表，你们遇到问题可以对照着排：

如果你卡在某个环节，先别急着怀疑工具，回到源码确认一遍校验逻辑，往往会比自己瞎猜快得多。排查问题的时候，DVWA的“View Source”页面就是你最好的帮手，它把所有服务端逻辑摊开给你看，比任何文档都清楚。

7.2 三个等级打完之后，我学到什么

文件上传这个模块练完，我有几点很深的体会，分享给后面要练的朋友。

第一点，不要止步于“能绕过”，要养成看源码的习惯。很多人打DVWA就是拿工具一通操作，Low上传成功、Medium改包成功、High图片马成功，就觉得完事了。但真正值钱的是每一步背后的原理：这个等级为什么能绕？服务端哪一行代码有疏漏？换一个场景我还能不能绕？这些问题想明白了，你才算真正把这关吸收掉。

第二点，工具用得再熟，也要会手动构造请求。比如Medium等级，用Burp改一个HTTP头确实很轻松，但有时候你需要在没有Burp的临时环境下快速复现问题，那就得能手动拼POST请求。我建议你在命令行里用curl把Medium等级的绕过流程手动走一遍，这对理解HTTP协议和文件上传机制帮助很大。试想一下，你在安全测试中遇到的站点往往比DVWA复杂得多，纯靠自动化工具很容易漏掉关键细节，手动构造请求的方式会帮你更深入地理解系统的反应。

第三点，安全测试的边界感非常重要。DVWA这类靶场之所以存在，就是为了让大家在合法、可控的环境里练手。你在这里学到的手法、思路、工具，只能用于授权范围内的安全测试和防御建设，绝不能拿去做任何未经许可的攻击。守住这条底线，你才能在安全这条路上走得更远。

我在实际工作中就遇到过不止一次这样的情况：有人把靶场里学到的手段，直接拿到公司内网或客户环境里去“试”，结果引发生产事故，轻则被通报批评，重则要承担法律责任。安全的第一课不是技术，而是边界意识。

7.3 后续还能往哪几个方向扩展

DVWA文件上传通关只是起点。如果你想继续深挖这个方向，我建议按下面的路线走，每一层都是让你“进阶”的跳板。

第一层，升级你的“武器库”。比如学习如何制作更加隐蔽的Webshell，了解各种编码绕过流量检测的思路。这里要强调，研究的目的在于更好地防御，比如分析恶意文件特征、加密流量识别，这些能力对防守方同样重要。

第二层，把文件上传漏洞和其他漏洞组合起来看。比如尝试用文件上传配合目录遍历，把文件写到预期之外的目录；或者配合解析漏洞，利用Nginx、Apache的特定配置绕过限制。我上面提到过图片马+文件包含的组合，这只是一个引子，真实攻击链通常更复杂。你可以试着在DVWA里把SQL注入、文件包含、文件上传串成一条攻击链，看看能不能一步步完整地控制服务器，这会非常考验你的整体思路。

第三层，从“攻击”转向“防御”，尝试自己修复DVWA的源码。把Low等级的代码改造成带有完整校验的版本，再以High等级的思路去攻击，检验你的修复是否有效。能防住自己攻击的修复，才是真正靠谱的修复。这种“自己动手补洞”的思路，对我后来的开发工作帮助非常大。

文件上传漏洞看似是个小点，但它牵连着Web安全的很多核心概念。你如果能把DVWA这个模块从原理、绕过、防御到组合利用都理清楚，以后不管是做渗透测试、安全开发还是代码审计，都会比别人多一分底气和从容。