CVE-2026-80428 CTF प्रशिक्षण लैब

CVE-2026-80428 (CWE-502: अविश्वसनीय डेटा का डीसेरियलाइज़ेशन) में वर्णित भेद्यता यांत्रिकी का शैक्षिक एमुलेटर।

यह नहीं है एक वास्तविक ILIAS इंस्टॉलेशन और नहीं है एक हथियारीकृत एक्सप्लॉइट पैकेज। यह छात्रों, इंटर्न और सुरक्षा शोधकर्ताओं के लिए एक पूर्णतः कंटेनरीकृत, पृथक प्रयोगशाला है।

सीखने के उद्देश्य

1. CWE-502 असुरक्षित डीसेरियलाइज़ेशन
2. PHP ऑब्जेक्ट इंजेक्शन
3. सीरियलाइज़्ड PHP ऑब्जेक्ट्स
4. सत्र-डेटा हेरफेर
5. प्रमाणीकरण-मुक्त एप्लिकेशन एंडपॉइंट्स
6. ऑब्जेक्ट जीवनचक्र और __destruct()
7. POP / गैजेट-चेन अवधारणाएँ (केवल सुरक्षित प्रशिक्षण गैजेट)
8. वेब-सुलभ फ़ाइल-राइट परिणाम (सैंडबॉक्स्ड)
9. डिटेक्शन और फोरेंसिक विश्लेषण
10. सुरक्षित उपचार
11. भेद्यता सत्यापन
12. पैच सत्यापन

आर्किटेक्चर

                    ┌──────────────────────┐
                    │      CTF HOST        │
                    └──────────┬───────────┘
                               │  127.0.0.1:8080
                         Docker Network (ctfnet)
                               │
       ┌───────────────────────┼────────────────────────┐
       │                       │                        │
       ▼                       ▼                        ▼
┌──────────────┐       ┌──────────────┐        ┌──────────────┐
│   ATTACKER   │       │    TARGET    │        │   OBSERVER   │
│ Python/curl  │       │ PHP/Apache   │        │ Logs/Evidence│
│ PHP CLI      │       │ Vulnerable   │        │              │
└──────────────┘       │ Emulator     │        └──────────────┘
                       └──────────────┘

वैकल्पिक रूप से पैच किया गया लक्ष्य 127.0.0.1:8081 पर Compose प्रोफ़ाइल patched के माध्यम से।

पूर्वापेक्षाएँ

• Docker Engine 24+ और Docker Compose v2
• इमेज के लिए ~1 GB खाली डिस्क
• किसी क्लाउड क्रेडेंशियल की आवश्यकता नहीं; इमेज पुल करने के बाद ऑफ़लाइन काम करता है

त्वरित शुरुआत

git clone https://github.com/shivammittal2403/cve-2026-80428-ctf.git
cd cve-2026-80428-ctf
cp .env.example .env
docker compose build
docker compose up -d
docker compose ps

Open: http://127.0.0.1:8080/

Attacker shell:

docker exec -it cve80428-attacker bash

चुनौती स्तर (1000 pts)

स्तर	फोकस	अंक
1	टोही (Reconnaissance)	100
2	सत्र खोज (Session discovery)	150
3	PHP सीरियलाइज़ेशन	150
4	ऑब्जेक्ट जीवनचक्र / डिस्ट्रक्टर	200
5	पूरी श्रृंखला	250
6	उपचार (पैच किया गया लक्ष्य)	150

आक्रमण प्रवाह (शैक्षिक)

Unauthenticated Request → LTI (/lti.php) → Session Storage
  → Logout (/logout.php) → unserialize() → Object → __destruct()
  → Controlled write (/drop/) → CTF Flag

docs/ATTACK_FLOW.md देखें।

सुरक्षा मॉडल

• लक्ष्य डिफ़ॉल्ट रूप से 127.0.0.1 से बंधा हुआ
• कोई Docker सॉकेट नहीं, कोई privileged मोड नहीं
• Gadget basename() का उपयोग करके केवल /var/www/html/drop/ के अंतर्गत लिखता है
• कोई system() / exec() / reverse shells नहीं
• Nuclei टेम्पलेट केवल-पहचान (detection-only) हैं

Makefile

make build && make up
make attacker
make health && make test
make reset

दस्तावेज़ीकरण

दस्तावेज़	दर्शक
docs/STUDENT.md	छात्र
docs/INSTRUCTOR.md	प्रशिक्षक
docs/VULNERABILITY.md	वास्तविक CVE ↔ लैब का मैपिंग
docs/ATTACK_FLOW.md	श्रृंखला आरेख
docs/REMEDIATION.md	पैच पैटर्न
docs/SOLUTIONS.md	केवल प्रशिक्षकों के लिए

लाइसेंस

MIT — केवल शैक्षिक उपयोग के लिए। देखें SECURITY.md।