CVE-2024-4577 CTF 챌린지

개요

이 CTF 챌린지는 PHP 8.1.x < 8.1.21, 8.2.x < 8.2.8, 8.3.x < 8.3.1에 영향을 미치는 치명적인 PHP CGI 인수 삽입 취약점인 CVE-2024-4577을 시연합니다.

취약점 상세

CVE-2024-4577은 PHP가 CGI 핸들러로 실행되도록 구성될 때 발생하는 PHP CGI 인수 삽입 취약점입니다. 공격자는 조작된 HTTP 요청을 통해 PHP 인터프리터에 명령줄 인수를 주입하여 잠재적으로 원격 코드 실행으로 이어질 수 있습니다.

챌린지 설명

웹 서버에서 실행 중인 취약한 PHP 애플리케이션에 접근할 수 있습니다. 목표는 CVE-2024-4577 취약점을 악용하여 /flag.txt에 위치한 플래그 파일을 읽는 것입니다.

파일

• vulnerable-app/ - 취약한 PHP 애플리케이션
• attack-scripts/ - 자동화된 공격 스크립트
• kubernetes/ - Kubernetes 배포 매니페스트
• docker/ - Docker 설정 파일

시작하기

로컬 테스트

1. 제공된 Kubernetes 매니페스트를 사용하여 취약한 애플리케이션 배포
2. 공격 스크립트를 사용하여 취약점 악용
3. 플래그 파일을 읽어 챌린지 완료

인터넷 배포

1. 인터넷 배포 가이드를 따르세요
2. LoadBalancer 서비스와 함께 GKE/EKS에 배포
3. 외부 IP를 가리키도록 DNS 구성
4. CTF는 전 세계 참가자가 접근할 수 있습니다.

학습 목표

• PHP CGI 인수 삽입 취약점 이해
• HTTP 요청 스머글링 기술 학습
• 웹 애플리케이션 보안 테스트 실습
• 컨테이너화된 애플리케이션 보안 경험 습득

면책 조항

이 CTF는 교육 목적으로만 제공됩니다. 소유하지 않거나 테스트할 명시적 권한이 없는 시스템에 대해 이러한 기술을 사용하지 마십시오.