Laboratoire de formation CTF CVE-2026-80428

Émulateur pédagogique des mécanismes de vulnérabilité décrits dans CVE-2026-80428 (CWE-502 : Désérialisation de données non fiables).

Il ne s'agit pas d'une véritable installation ILIAS ni d'un paquet d'exploit weaponisé. C'est un laboratoire entièrement conteneurisé et isolé destiné aux étudiants, stagiaires et chercheurs en sécurité.

Objectifs d'apprentissage

1. Désérialisation non sécurisée CWE-502
2. Injection d'objets PHP
3. Objets PHP sérialisés
4. Manipulation des données de session
5. Points de terminaison d'application exemptés d'authentification
6. Cycle de vie des objets et __destruct()
7. Concepts de POP / chaînes de gadgets (gadget d'entraînement sécurisé uniquement)
8. Conséquences d'écriture de fichiers accessibles via le Web (en bac à sable)
9. Détection et analyse forensique
10. Remédiation sécurisée
11. Validation de la vulnérabilité
12. Vérification du correctif

Architecture

                    ┌──────────────────────┐
                    │      CTF HOST        │
                    └──────────┬───────────┘
                               │  127.0.0.1:8080
                         Docker Network (ctfnet)
                               │
       ┌───────────────────────┼────────────────────────┐
       │                       │                        │
       ▼                       ▼                        ▼
┌──────────────┐       ┌──────────────┐        ┌──────────────┐
│   ATTACKER   │       │    TARGET    │        │   OBSERVER   │
│ Python/curl  │       │ PHP/Apache   │        │ Logs/Evidence│
│ PHP CLI      │       │ Vulnerable   │        │              │
└──────────────┘       │ Emulator     │        └──────────────┘
                       └──────────────┘

Cible corrigée optionnelle sur 127.0.0.1:8081 via le profil Compose patched.

Prérequis

• Docker Engine 24+ et Docker Compose v2
• ~1 Go d'espace disque libre pour les images
• Aucun identifiant cloud requis ; fonctionne hors ligne après le téléchargement des images

Démarrage rapide

git clone https://github.com/shivammittal2403/cve-2026-80428-ctf.git
cd cve-2026-80428-ctf
cp .env.example .env
docker compose build
docker compose up -d
docker compose ps

Ouvrir : http://127.0.0.1:8080/

Shell de l'attaquant :

docker exec -it cve80428-attacker bash

Niveaux de défi (1000 pts)

Niveau	Objectif	Points
1	Reconnaissance	100
2	Découverte de session	150
3	Sérialisation PHP	150
4	Cycle de vie d'objet / destructeur	200
5	Chaîne complète	250
6	Remédiation (cible corrigée)	150

Déroulement de l'attaque (pédagogique)

Unauthenticated Request → LTI (/lti.php) → Session Storage
  → Logout (/logout.php) → unserialize() → Object → __destruct()
  → Controlled write (/drop/) → CTF Flag

Voir docs/ATTACK_FLOW.md.

Modèle de sécurité

• Cible liée à 127.0.0.1 par défaut
• Pas de socket Docker, pas de mode privilégié
• Le gadget écrit uniquement sous /var/www/html/drop/ en utilisant basename()
• Pas de system() / exec() / reverse shells
• Les templates Nuclei sont uniquement pour la détection

Makefile

make build && make up
make attacker
make health && make test
make reset

Documentation

Document	Public
docs/STUDENT.md	Étudiants
docs/INSTRUCTOR.md	Instructeurs
docs/VULNERABILITY.md	Correspondance CVE réelle ↔ lab
docs/ATTACK_FLOW.md	Diagrammes de chaîne
docs/REMEDIATION.md	Modèles de correctifs
docs/SOLUTIONS.md	Instructeurs uniquement

Licence

MIT — usage éducatif uniquement. Voir SECURITY.md.