Damn Vulnerable Linux / DVL

基本情報

項目	内容
名称	Damn Vulnerable Linux（DVL）
状態	開発終了・歴史的ディストリビューション
系統	Slackware系Live CD
主な用途	意図的に脆弱な旧環境を用いたセキュリティ教育
現在の利用判断	通常利用には不適。研究目的でも外部ネットワークから完全に隔離する
公式サイト	現在利用できる公式サイトは確認できず、保存資料で履歴を確認
推奨する代替	OWASP Juice Shop、DVWA、利用規約で許可された演習サービス
情報確認日	2026-07-14

Damn Vulnerable Linux（DVL）は、かつてセキュリティ教育や脆弱性診断の学習用として広く知られていたLinuxディストリビューションです。しかし、現在は開発・更新が完全に停止しており、現代のセキュリティ学習にそのまま利用するには多くのリスクと不整合が伴います。

本書では、DVLの現状を正しく理解し、安全かつ効果的にサイバーセキュリティを学ぶための代替環境や、現代的な演習環境（DVWA等）との違いについて解説します。

カタログ補足

参考URL: https://sourceforge.net/projects/virtualhacking/files/os/dvl/

1. 結論・向く人・避ける条件

向く人（代替環境の利用を推奨する人）

安全にWebアプリケーションの脆弱性（SQLインジェクションなど）を学びたい方
最新のLinuxカーネルや現代のセキュリティ機構（ASLRなど）を前提としたペネトレーションテストを学びたい方
環境構築の手間を減らし、ブラウザや隔離されたコンテナですぐに演習を始めたい方

避ける条件（DVLの直接利用を避けるべき理由）

ホストOSやローカルネットワークと隔離されていない環境での実行
現代のサイバー攻撃トレンド（クラウド、コンテナ、最新のCVE）への対策学習
Slackwareベースの古いシステム管理知識ではなく、現代のDebian/Ubuntu/Red Hat系をベースにした実務スキルの習得目的

2. 30秒要約

DVLは完全に過去の遺物： Damn Vulnerable Linuxは意図的に脆弱に作られた教育用OSですが、2010年頃を最後に更新が停止しています。
そのまま使うのは危険かつ非効率： 含まれるソフトウェアやカーネルが古すぎるため、現代のセキュリティ対策の主流（コンテナ隔離やモダンなWAFなど）を学べず、実ネットワークでの運用は二次被害のリスクがあります。
現代の代替策： Web系なら「DVWA（Damn Vulnerable Web Application）」や「OWASP Juice Shop」をローカルのDocker環境で動かすか、「TryHackMe」「Hack The Box」などのクラウド型ラボを利用するのが安全かつ主流です。

3. 前提と用語の区別

セキュリティ学習を始める前に、混同しやすい用語や環境の定義を整理しておきましょう。

Damn Vulnerable Linux（DVL） SlackwareベースのLiveCDとして提供されていた、OS丸ごと脆弱な環境。カーネルレベルや古いデーモン（サービス）の脆弱性を含みますが、現在はメンテナンスされていません。
Damn Vulnerable Web Application（DVWA） PHP/MySQLで書かれた「Webアプリケーション」の脆弱性学習環境。OSではなくWebアプリ単体であるため、Dockerなどを使い現代の安全なLinuxシステム上で独立して実行可能です。
ペネトレーションテスト用OS（Kali Linux / Parrot OS） これらは「攻撃ツールが最初から詰まった安全で最新のOS」であり、DVLのように「自身が脆弱なOS」ではありません。演習の際は、Kali Linux（攻撃側）から脆弱なターゲット環境（防御・標的側）へアクセスする形で組み合わせます。

4. 判断に使う比較表

現在の目的やスキルレベルに合わせて、どの学習環境を選ぶべきかの基準をまとめました。

環境名	種別	更新状況	難易度	推奨される用途・特徴
DVL（本稿の対象）	脆弱なOS（VM/CD）	停止（2010年頃）	上級（非推奨）	過去のLinuxセキュリティ史や古いエクスプロイトの仕組みを研究する目的限定。
DVWA (VM/Docker)	脆弱なWebアプリ	アクティブ	初級〜中級	SQLi、XSS、CSRFなど、Webアプリケーション脆弱性の基礎を安全にローカルでハンズオン。
OWASP Juice Shop	脆弱なWebアプリ（Node.js）	アクティブ	初級〜上級	現代的なJavaScript（SPA/API）環境の脆弱性をコンテナ（Docker）で安全に学習。
TryHackMe / Hack The Box	クラウド型ラボ環境	常に最新	初級〜プロ	自分で環境を構築せず、ブラウザやVPN経由で安全に様々なパッチレベルの仮想マシンを攻略。

5. 実行・確認の具体例

現代の安全な学習手順として、「現代のOS環境上で、Dockerを用いてDVWA（脆弱なアプリ）を完全隔離して実行する」 手順、およびクラウドプラットフォームを利用する流れの2例を紹介します。攻撃手順そのものではなく、環境を安全に立ち上げて終了するまでのフローです。

例1：Dockerを使用した安全なDVWA環境の起動（ローカル隔離）

ホストのLinux環境（UbuntuやDocker Desktop導入済みの環境）から、ネットワークを外部と遮断するか、ローカルホスト（127.0.0.1）にのみバインドして実行します。

イメージの取得とコンテナの起動（ローカル限定バインド） 外部からの不正アクセスを防ぐため、必ず 127.0.0.1 にポートを縛ります。
Terminal window
```
docker run --rm -d -p 127.0.0.1:80:80 vulnerables/web-dvwa
```

2. **ブラウザでのアクセス確認**
ローカルのブラウザで `http://127.0.0.1/` にアクセスし、セットアップ画面が表示されることを確認します。
3. **安全なクリーンアップ（演習終了時）**
起動したコンテナは `--rm` オプションが付いているため、停止と同時に内部データごと完全に消去され、ホストシステムを汚しません。
```bash
docker stop <コンテナID>

例2：クラウド型演習プラットフォーム（TryHackMe等）の利用

自身で脆弱なシステムをホストせず、インフラごと提供されたサンドボックスを利用する最も安全な方法です。

アカウント作成とプラットフォームへのログイン 公式Webサイト（TryHackMeなど）に登録します。
ルーム（演習課題）の選択 「Linuxの基本」や「OWASP Top 10」など、学習したいカリキュラムを選択します。
ターゲットマシンの起動とVPN接続 プラットフォーム上で「Start Machine」をクリックすると、クラウド上に隔離された標的マシンが一時的に生成されます。自身のPCからは提供される設定ファイル（OpenVPN等）を用いて安全に接続し、ブラウザ上のターミナルから演習を行います。

6. 失敗しやすい点、セキュリティ・保守上の注意

DVLをそのまま起動した際のリスク

DVLのISOイメージを拾ってきて単純にVirtualBox等で起動した場合、以下の罠に陥りやすくなります。

ネットワーク設定の誤りによる外部露出: VMのネットワークを「ブリッジアダプター」に設定していると、ローカルネットワーク内の他の端末や、最悪の場合インターネット側から、その「意図的に開けられた脆弱なポート」へ攻撃される踏み台になります。必ず 「ホストオンリーアダプター」 または 「内部ネットワーク」 に設定し、外部への通信（アウトバウンド含む）を遮断してください。
現代のツールとの非互換: DVLに含まれるサービスは古すぎるため、Kali Linuxなどの現代のツール（nmapやMetasploit）のデフォルトスキャンやペイロードが正常に動作しない、あるいは意図しないクラッシュを起こすケースが多発します。

脆弱性学習における倫理と法律

許可のないスキャン・攻撃の禁止: 自社または自身が管理し、かつ完全に外部から隔離されたネットワーク以外の場所に対して脆弱性スキャンツール（NmapやOWASP ZAPなど）を実行することは、不正アクセス禁止法に抵触する恐れや、サービス妨害（DoS）とみなされるリスクがあります。必ず自身の手元で完結するサンドボックスか、利用規約で許可されたプラットフォーム上でのみ実施してください。

7. 公式情報と確認日

Damn Vulnerable Linux (DVL): 公式なプロジェクトサイトは現在閉鎖されています。過去のアーカイブ（Archive.org等）でのみ確認可能（最終確認日: 2026年7月）
OWASP Vulnerable Web Applications Directory (VWAD): 現代推奨される各種脆弱性学習環境のリスト。OWASP公式にて随時更新されています。

8. 次に読む

現代のセキュアな学習環境の構築や、DVLのベースとなっているディストリビューション系統への理解を深めるために、以下の記事をあわせてお読みください。

/linux/distros/damn-vulnerable-web-application-vm/ OS全体ではなく、Webアプリケーションの脆弱性に特化して安全に学ぶための「DVWA」環境構築と運用のガイド。
/linux/distro-families/slackware/ DVLのベースシステムとして採用されていた、Linux最古の現役エコシステム「Slackware」の歴史と構造を知る。