Desafío CTF CVE-2024-4577

Descripción general

Este desafío CTF demuestra la CVE-2024-4577, una vulnerabilidad crítica de inyección de argumentos en PHP CGI que afecta a las versiones de PHP 8.1.x < 8.1.21, 8.2.x < 8.2.8 y 8.3.x < 8.3.1.

Detalles de la vulnerabilidad

CVE-2024-4577 es una vulnerabilidad de inyección de argumentos en PHP CGI que ocurre cuando PHP está configurado para ejecutarse como un controlador CGI. Los atacantes pueden inyectar argumentos de línea de comandos al intérprete de PHP a través de solicitudes HTTP manipuladas, lo que potencialmente conduce a la ejecución remota de código.

Descripción del desafío

Se le da acceso a una aplicación PHP vulnerable que se ejecuta en un servidor web. Su objetivo es explotar la vulnerabilidad CVE-2024-4577 para leer el archivo de bandera ubicado en /flag.txt.

Archivos

• vulnerable-app/ - La aplicación PHP vulnerable
• attack-scripts/ - Scripts de ataque automatizados
• kubernetes/ - Manifiestos de despliegue de Kubernetes
• docker/ - Archivos de configuración de Docker

Primeros pasos

Para pruebas locales

1. Desplegar la aplicación vulnerable utilizando los manifiestos de Kubernetes proporcionados
2. Usar los scripts de ataque para explotar la vulnerabilidad
3. Leer el archivo de bandera para completar el desafío

Para despliegue en Internet

1. Siga la Guía de despliegue en Internet
2. Despliegue en GKE/EKS con el servicio LoadBalancer
3. Configure DNS para que apunte a su IP externa
4. El CTF será accesible mundialmente para los participantes

Objetivos de aprendizaje

• Comprender las vulnerabilidades de inyección de argumentos en PHP CGI
• Aprender sobre técnicas de contrabando de solicitudes HTTP
• Practicar pruebas de seguridad en aplicaciones web
• Adquirir experiencia con la seguridad de aplicaciones contenerizadas

Descargo de responsabilidad

Este CTF es solo con fines educativos. No utilice estas técnicas contra sistemas que no le pertenezcan o para los que no tenga permiso explícito de realizar pruebas.