ホワイトハットの先輩のMacBook「武器庫」：ServBayで1分以内にペネトレーションテスト環境を構築する方法

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/4107514/d91d38e5-5e8c-4fa4-9335-f26d84f8ed72.png)

やあ、技術好きの皆さん、あなたの頼れるハードコアな先輩がまたまたオンラインで知識を共有するよ！

卒業プロジェクトはWebセキュリティがテーマで、最近ローカルの標的環境を構築しているんだ。クラスメートたちが「仮想マシンが起動しない」「Dockerのネットワークが繋がらない」と頭を抱え、あちこちで助けを求めている間、私のMacBookには、DVWA、Sqli-labs、Pikachuといった定番の脆弱性検証環境が「豪華武器庫」を形成し、いつでも出撃準備OKなんだ。

誤解しないでね、私も同じように多くの困難に直面してきたし、誰にも負けないくらい苦労もした。標的環境構築の「三大難関」は、一つずつ「制覇」してきたんだ：

仮想マシン（VMware/Parallels）： パフォーマンスのブラックホール。ファンが唸り出すのは序の口、メインディッシュはPCがスライドショーのようにカクつき、バッテリーが1時間もたないこと。たった一つの標的環境のために、メインの開発マシンをめちゃくちゃにするなんて、マジありえない。

![截屏2025-06-07 23.15.47.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/4107514/2b30c10d-6f6f-43e7-8335-ffab778440df.png)

Docker： 理論上は王者だけど、実践では「挫折製造機」。脆弱性を手っ取り早く検証したい初心者にとって、Dockerfile、volume、port mappingを理解する精神的負担は、標的環境そのものよりも重い。

![截屏2025-06-07 23.16.18.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/4107514/1b11bbf0-9171-4fa7-bd22-ec12b6dc54b8.png)

手動コンパイル（LAMP/LNMP）： これは真の「地獄モード」。PHP 5.xにしか対応していない古い標的環境のために、macOSに見捨てられたApacheモジュールや様々な依存関係と格闘するなんて？信じて、あなたの時間と髪の毛は貴重だよ。

もう諦めて研究室の古くて遅いサーバーを借りようかと思っていた矢先、ふと気づいたんだ。私が普段Web開発に使っているServBayって、完璧に管理された高性能なローカルサーバーツールじゃないか！課題のプロジェクトや個人的な仕事にも使っているんだから、PHP製の標的環境をいくつかホストするなんて、まさに格の違いを見せつけるってやつじゃない？

![日语.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/4107514/5a2547a9-14c6-41d8-bb44-a331009cc5d2.png)

そう気づいたら、すべてがクリアになったんだ。結果として、最初の標的（DVWA）のデプロイにかかった時間は、たったの1分。いや、正確には58秒。

💥 なぜServBayがローカル標的環境構築の「最適解」なのか？

環境の秒速切り替え、新旧の標的を完全サポート： 最大の悩みは解決済み。古い標的はPHP 5.xしか認識しない。新しいものはより高いバージョンが必要。ServBayのパネルでは、バージョンの切り替えはドロップダウンメニューを選ぶだけ。クリック一つで即座に有効になる [cite: 1, 2]。互換性の問題のために、たくさんのツールをインストールする必要はもうないんだ。

「標的の動物園」を同時に、そして独立して： DVWA、bWAPP、Pikachuを同時に実行したい？お安い御用だよ。ServBayでは、各標的が独立したHostとして存在し、それぞれに独自のドメインとPHPバージョンを設定できる [cite: 3]。お互いに干渉せず、あなたの「武器庫」にきちんと整理されていて、いつでも好きなものを選べるんだ。

データベースの「初心者向け」管理： 標的の初期化にデータベースが必要？ServBayにはMySQL/MariaDBが内蔵されていて、ワンクリックで起動/停止できる [cite: 3]。phpMyAdminも付属しているから、.sqlファイルのインポート、データの確認、標的のリセットも、すべてグラフィカル操作で簡単明瞭。

ネイティブパフォーマンス、リソース節約： macOSネイティブアプリケーションであるServBayは、仮想マシンよりもはるかに軽量だ [cite: 3]。私の古いMacBook Proでも、3つの標的を同時に実行しながら、Burp Suiteを開き、大量の資料をバックグラウンドで読み込んでいても、スムーズに動作するんだ。

実践ノート：DVWA 58秒高速デプロイ手順
私の手順を再現したい？ついてきて！

弾薬の準備：

ServBayのServicesで、MySQL（またはMariaDB）がダウンロードされ、有効になっていることを確認してね [cite: 3]。

![1.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/4107514/c9f07c33-d618-401a-8af7-2f8fd5308325.jpeg)

GitHubからDVWAのソースコードをダウンロードして、解凍しておこう。
データベースの設定：

ブラウザでservbay.hostにアクセスし、phpMyAdminをクリックして、ServBayパネルに表示されているデフォルトのMySQLアカウントでログインしてね。
dvwaという名前の新しいデータベースを作成しよう。
標的のデプロイ：

解凍したDVWAのソースコードフォルダ全体を~/ServBay/www/ディレクトリにドロップ！
ServBayパネルを開き、Websites -> +ボタンをクリック。
Name: DVWA靶場 (何でもOK)
Domains: dvwa.test (hostsファイルを自動的に設定してくれるから、超便利)
Root Directory: さっき移動したdvwaフォルダを選択。

![2.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/4107514/c9e95c81-7c5c-471a-914f-da9abdb1b075.jpeg)

DVWAソースコード内のconfig/config.inc.php.distを見つけてconfig.inc.phpにリネームし、開いて、データベースのユーザー名とパスワードをServBayの設定に合わせて変更してね。
インストール＆発射！

ブラウザでhttp://dvwa.testにアクセス。DVWAのインストールページが表示されるはず。
ページ下部の「Create / Reset Database」ボタンをクリック。
完了！デフォルトのユーザー名admin、パスワードpasswordでログイン！
さあ、脆弱性ハンティングを楽しもう！

![3.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/4107514/e11b4c08-d99a-477d-bbd8-faf74b9079cf.jpeg)


技術好きのあなたへ：

![4.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/4107514/15602fa1-5506-447d-b7c3-2f1037dce7d4.jpeg)


環境構築のような「雑務」に時間と情熱を無駄にするのはもうやめよう。CTF競技会に向けて準備をしている人も、Webセキュリティを体系的に学びたい人も、効率的なローカル「道場」こそが成功の鍵となるんだ。

Servbay (https://www.servbay.com/) は私たちに選択肢を与えてくれる。設定ファイルや依存関係と格闘するのではなく、脆弱性の研究と「get shell」に時間を費やすことができるんだ。 この感覚、本当に最高だよ！

ぜひ試してみて、そしてあなたの戦果を教えてね。あるいは、コメント欄であなたの「武器庫」にある他の面白い標的環境をシェアしてくれても嬉しいな！