React-2025 CTF लैब: CVE-2025-55182

अवलोकन

इस रिपॉजिटरी में एक Capture The Flag (CTF) लैब है जो विशेष रूप से शैक्षिक उपयोग और सुरक्षा अनुसंधान के लिए डिज़ाइन की गई है।

यह वातावरण एक कमजोर Next.js 16 ई-कॉमर्स मॉक स्टोरफ्रंट ("क्वांटम सप्लाइज") प्रस्तुत करता है, जो विशेष रूप से CVE-2025-55182 के शोषण को प्रदर्शित करने और अभ्यास करने के लिए बनाया गया है, जो React सर्वर कम्पोनेंट्स फ्लाइट प्रोटोकॉल में एक गंभीर डिसीरियलाइज़ेशन भेद्यता है।

(एक विस्तृत Notion वॉकथ्रू और शोषण गाइड का लिंक जल्द ही यहाँ प्रदान किया जाएगा)।

रिपॉजिटरी संरचना

• /app: इसमें कमजोर Next.js वेब एप्लिकेशन का पूरा स्रोत कोड शामिल है, जिसमें मॉक डेटाबेस, कस्टम डार्क लिक्विड ग्लास UI स्टाइलिंग और कमजोर सर्वर एक्शन शामिल हैं।
• /documents: इसमें लॉग और प्रश्न/उत्तर शामिल हैं जो एप्लिकेशन आर्किटेक्चर और भेद्यता तंत्र का विवरण देते हैं, जैसा कि हमने AI के साथ इस लैब वातावरण का निर्माण किया।
• /solution: इसमें एप्लिकेशन की जाँच के लिए उपयोग किए गए विस्तृत विश्लेषण दस्तावेज़ों की एक श्रृंखला शामिल है। इसमें अंतिम solve.py स्क्रिप्ट, मैन्युअल Burp Suite शोषण के लिए चरण-दर-चरण गाइड और React Flight पेलोड संरचना (solution6.md, आदि) की व्याख्या करने वाले गहन उत्तर शामिल हैं।

इस सर्वर को प्रारंभ करें

एप्लिकेशन सुरक्षित अनुसंधान के लिए Docker के माध्यम से पूरी तरह से कंटेनरीकृत है। कमजोर सर्वर और मॉक बैकएंड को चालू करने के लिए, रूट डायरेक्टरी से निम्नलिखित कमांड चलाएँ:

# Build the Docker image and start the container in detached mode
sudo docker compose up -d --build

एप्लिकेशन आपके ब्राउज़र के माध्यम से http://localhost:10001 पर सुलभ होगा।

नोट: कंटेनर स्वचालित रूप से CTF चुनौती के लिए आवश्यक लक्ष्य फ़ाइल /flag/flag.txt प्रदान करता है।