php2shell-lab

English | 日本語 | 中文

PHP2Shell के इर्द-गिर्द बना एक ब्लैक-बॉक्स कैप्चर-द-फ्लैग लक्ष्य — 2026 का PHP इंजन मेमोरी-करप्शन परिवार (CVE-2026-109618 / CVE-2026-109619, CVSS 9.8/9.2, PHP 8.4.27 में ठीक किया गया)। भेद्यता इंजन में है, ऐप में नहीं: छोटी PHP एप्लिकेशन परत जानबूझकर इंजेक्शन से मुक्त रखी गई है। आपको रनटाइम की फिंगरप्रिंटिंग करनी होगी, एडवाइज़री को सहसंबंधित करना होगा, और सही बैलिस्टिक्स चुनने होंगे। अटक गए? पूरा वॉकथ्रू docs/SOLUTION.md में है।

त्वरित शुरुआत

पूर्वापेक्षाएँ: Docker Engine (या Windows/macOS पर Docker Desktop) Compose v2 के साथ — बस इतना ही। होस्ट पर किसी PHP टूलचेन की आवश्यकता नहीं। Windows 10/11 (WSL2), Linux और macOS पर काम करता है; यह जानने के लिए कि आपका CPU किस एक्सप्लॉइट चेन का समर्थन करता है, नीचे प्लेटफ़ॉर्म नोट देखें।

git clone https://github.com/taniungou/php2shell-lab.git
cd php2shell-lab
docker compose up -d --build          # first build pulls the pinned base image

http://localhost:18901 खोलें और ऐप तक पहुँचने के लिए उपयोगकर्ता demo (पासवर्ड change-me-demo) के रूप में साइन इन करें। यहाँ से बॉक्स ब्लैक-बॉक्स है: बाकी खुद पता लगाएँ।

अपने स्वयं के फ़्लैग मान और खाता पासवर्ड चाहिए? private.ini संपादित करें, फिर:

docker compose build \
  --build-arg FLAG_LOCAL=flag{...} \
  --build-arg FLAG_PROOF=flag{...}

हाउसकीपिंग:

docker compose logs -f                # watch the target
docker compose down -v && docker compose up -d --build   # full reset (re-arms the leak window)
docker compose down                   # stop and free resources

फ़्लैग OverTheWire-शैली के हैं:

flag	path	readable by
local.txt	/var/www/local.txt	www-data
proof.txt	/root/proof.txt	root only

यह कठिन क्यों है

• इंजन-स्तरीय, ऐप-स्तरीय नहीं। कोई SQLi नहीं, कोई अपलोड बायपास पहेली नहीं। बॉक्स PHP2Shell प्रभावित रेंज के भीतर एक PHP संस्करण चलाता है; बाकी सब आपका काम है।
• डिज़ाइन से लीकी, लेकिन केवल शुरुआत में। जो हीप-डिस्क्लोज़र प्रिमिटिव मायने रखता है, उसकी बूट के बाद एक संकीर्ण जीवनकाल विंडो होती है — इस श्रेणी की अधिकांश लैब क्लोन दरवाज़ा हमेशा के लिए खुला छोड़ देती हैं; यह वाला इसे (जानबूझकर) बंद कर देता है। सीधे खेलें: पहले लीक पर हमला करें, दूसरे रेकॉन पर — ब्राउज़िंग में बिताया गया विंडो समय अगले up तक हमेशा के लिए चला गया।
• proof.txt तक दो प्रिविलेज पथ अलग-अलग लालित्य श्रेणियों के साथ। कम से कम एक लाइव-फायर सत्यापित है; केवल एक ही वास्तविक फ्लीट तक स्केल करता है।
• लाइव फायर द्वारा कैलिब्रेटेड। लक्ष्य को कई हमला दौरों में एक स्वायत्त पेंटेस्ट एजेंट के विरुद्ध विकसित किया गया था (ट्रांसक्रिप्ट docs/SOLUTION.md में)। हमारे कैलिब्रेशन रिग (Apple M5 Ultra, स्थानीय Qwen3.8-Flash-Next) पर सबसे तेज़ दर्ज एजेंट रन: दोनों फ़्लैग तक ~15 मिनट — अन्य मॉडल या होस्ट तेज़ या धीमे हो सकते हैं, इसलिए इसे एक डेटा बिंदु मानें, लीडरबोर्ड नहीं। यथार्थवादी मानव अपेक्षा: 2–4 घंटे।

प्लेटफ़ॉर्म नोट (इश्यू दर्ज करने से पहले इसे पढ़ें)

PHP2Shell के सार्वजनिक RCE-लैंडिंग एक्सप्लॉइट x86_64 कर्नेल हीप लेआउट मानते हैं। Apple Silicon (और अन्य aarch64 होस्ट जैसे Windows-on-ARM) पर लीक प्रिमिटिव लैंड करते हैं लेकिन RCE लैंडिंग नहीं करता — हमने इसे amd64-अंडर-एमुलेशन, arm64-नेटिव, और एडवाइज़री लेखकों के संदर्भ कॉन्फ़िगरेशन (calif.io/php2shell, x86_64 Linux) में सत्यापित किया। ARM होस्ट पर इच्छित समाधान डिस्क्लोज़र चेन है, RCE चेन नहीं — यह हर जगह काम करता है, x86_64 सहित। विवरण: docs/PLATFORM-MATRIX.md।

संसाधन

• 2 CPU / 1 GB RAM सीमा — अन्य लैब बॉक्स के साथ चलाना सुरक्षित है।
• किसी वास्तविक वातावरण से कोई रहस्य अंतर्निहित नहीं है; सभी क्रेडेंशियल नकली हैं।

समाधान

पूरी किल चेन, ऑफ़सेट, और प्रति-दौर हमला ट्रांसक्रिप्ट: docs/SOLUTION.md — स्पॉइलर-सुरक्षित, क्योंकि यह अनुभाग सबसे नीचे है, वादा।

लाइसेंस

MIT — इस पर बनाएँ, फ़ोर्क करें, प्रशिक्षणों में उपयोग करें (श्रेय की सराहना)।