php2shell-lab

English | 日本語 | 中文

هدف التقاط الأعلام (capture-the-flag) من نوع الصندوق الأسود مبني حول PHP2Shell — عائلة فساد الذاكرة في محرك PHP لعام 2026 (CVE-2026-109618 / CVE-2026-109619، CVSS 9.8/9.2، تم إصلاحها في PHP 8.4.27). الثغرة موجودة في المحرك، وليس في التطبيق: طبقة تطبيق PHP الصغيرة خالية عمدًا من أي حقن. عليك بصم إصدار وقت التشغيل، وربط الاستشارة الأمنية، واختيار المسار الصحيح. عالق؟ يوجد شرح كامل في docs/SOLUTION.md.

البدء السريع

المتطلبات المسبقة: Docker Engine (أو Docker Desktop على Windows/macOS) مع Compose v2 — هذا كل شيء. لا حاجة إلى سلسلة أدوات PHP على المضيف. يعمل على Windows 10/11 (WSL2) وLinux وmacOS؛ راجع ملاحظة المنصات أدناه لمعرفة سلسلة الاستغلال التي يدعمها معالجك.

git clone https://github.com/taniungou/php2shell-lab.git
cd php2shell-lab
docker compose up -d --build          # first build pulls the pinned base image

افتح http://localhost:18901 وسجّل الدخول باسم المستخدم demo (كلمة المرور change-me-demo) للوصول إلى التطبيق. من هنا يصبح الصندوق صندوقًا أسود: اكتشف الباقي بنفسك.

هل تريد قيم أعلام وكلمات مرور حسابات خاصة بك؟ عدّل private.ini، ثم:

docker compose build \
  --build-arg FLAG_LOCAL=flag{...} \
  --build-arg FLAG_PROOF=flag{...}

أعمال الصيانة:

docker compose logs -f                # watch the target
docker compose down -v && docker compose up -d --build   # full reset (re-arms the leak window)
docker compose down                   # stop and free resources

الأعلام بنمط OverTheWire:

العلم	المسار	من يمكنه قراءته
local.txt	/var/www/local.txt	www-data
proof.txt	/root/proof.txt	root فقط

ما يجعلها غير تافهة

• على مستوى المحرك، لا التطبيق. لا SQLi، ولا ألغاز تجاوز الرفع. يشغّل الصندوق إصدار PHP ضمن النطاق المتأثر بـ PHP2Shell؛ وكل ما عدا ذلك هو مهمتك.
• تسرّب بالتصميم، لكن في البداية فقط. لبدائية كشف الكومة (heap-disclosure) المهمة نافذة عمر ضيقة بعد الإقلاع — معظم نسخ هذا النوع من المختبرات تترك الباب مفتوحًا إلى الأبد؛ هذه النسخة تغلقه (عن قصد). العب بجدية: اضرب التسرب أولًا، والاستطلاع ثانيًا — فالوقت الذي تقضيه في التصفح داخل النافذة يضيع إلى الأبد حتى عملية up التالية.
• مساران للامتيازات نحو proof.txt بدرجات أناقة مختلفة. أحدهما على الأقل مُتحقَّق منه بالاختبار الحي؛ وواحد فقط قابل للتوسع إلى أسطول حقيقي.
• مُعايَرة بالاختبار الحي. طُوِّر الهدف مقابل وكيل اختبار اختراق ذاتي على مدى جولات هجوم متعددة (النصوص الكاملة في docs/SOLUTION.md). أسرع تشغيل مسجّل للوكيل على منصة المعايرة لدينا (Apple M5 Ultra، Qwen3.8-Flash-Next محليًا): ~15 دقيقة لكلا العلمين — قد تصل نماذج أو مضيفات أخرى أسرع أو أبطأ، لذا اعتبر هذا نقطة بيانات واحدة، لا لوحة صدارة. التوقع البشري الواقعي: 2–4 ساعات.

ملاحظة المنصات (اقرأ هذا قبل فتح بلاغ)

تفترض استغلالات RCE-landing العامة لـ PHP2Shell تخطيط كومة نواة x86_64. على Apple Silicon (وغيرها من مضيفات aarch64 مثل Windows-on-ARM) تنجح بدائيات التسرب لكن RCE-landing لا ينجح — تحققنا من ذلك عبر amd64 تحت المحاكاة، وarm64 الأصلي، وإعداد المرجع لدى مؤلفي الاستشارة (calif.io/php2shell، x86_64 Linux). على مضيفات ARM يكون الحل المقصود هو سلسلة الكشف، لا سلسلة RCE — فهي تعمل في كل مكان، بما في ذلك x86_64. التفاصيل: docs/PLATFORM-MATRIX.md.

الموارد

• حد 2 CPU / 1 GB RAM — آمن للتشغيل بجانب مختبرات أخرى.
• لا تُضمَّن أي أسرار من أي بيئة حقيقية؛ جميع بيانات الاعتماد وهمية.

الحلول

سلسلة القتل الكاملة، والإزاحات (offsets)، ونصوص الهجوم لكل جولة: docs/SOLUTION.md — محمية من الحرق بفضل وجود هذا القسم في الأسفل، أعدك.

الترخيص

MIT — ابنِ عليه، واعمل منه نسخة متفرعة، واستخدمه في التدريبات (يُقدَّر ذكر المصدر).