مختبر CTF React-2025: CVE-2025-55182

نظرة عامة

يحتوي هذا المستودع على مختبر Capture The Flag (CTF) مصمم بدقة للاستخدام التعليمي والبحث الأمني.

البيئة تحتوي على واجهة متجر إلكتروني وهمية معرضة للخطر من Next.js 16 ("Quantum Supplies") تم بناؤها خصيصًا لعرض وممارسة استغلال CVE-2025-55182، وهي ثغرة حرجة في إلغاء التسلسل ضمن بروتوكول Flight لمكونات خادم React.

(سيتم توفير رابط لدليل تفصيلي على Notion واستغلال الثغرة قريبًا هنا).

هيكل المستودع

• /app: يحتوي على كود المصدر الكامل لتطبيق الويب Next.js المعرض للخطر، بما في ذلك قاعدة البيانات الوهمية، وتصميم واجهة Dark Liquid Glass UI المخصص، وإجراءات الخادم المعرضة للخطر.
• /documents: يحتوي على سجلات وأسئلة/إجابات توضح بالتفصيل بنية التطبيق وآليات الثغرة أثناء بناء بيئة المختبر هذه مع الذكاء الاصطناعي.
• /solution: يحتوي على سلسلة من مستندات التحليل التفصيلية المستخدمة لفحص التطبيق. يتضمن ذلك برنامج solve.py النهائي، وأدلة خطوة بخطوة للاستغلال اليدوي باستخدام Burp Suite، وإجابات معمقة تشرح هيكل حمولة React Flight (solution6.md، إلخ).

تشغيل هذا الخادم

التطبيق معبأ بالكامل عبر Docker للبحث الآمن. لتشغيل الخادم المعرض للخطر والواجهة الخلفية الوهمية، قم بتشغيل الأوامر التالية من الدليل الجذر:

# Build the Docker image and start the container in detached mode
sudo docker compose up -d --build

سيكون التطبيق متاحًا عبر متصفحك على http://localhost:10001.

ملاحظة: يقوم الحاوية تلقائيًا بتوفير الملف المستهدف /flag/flag.txt المطلوب لتحدي CTF.