php2shell-lab

English | 日本語 | 中文

PHP2Shell을 중심으로 구축된 블랙박스 캡처 더 플래그(CTF) 타깃 — 2026년 PHP 엔진 메모리 손상 취약점 계열(CVE-2026-109618 / CVE-2026-109619, CVSS 9.8/9.2, PHP 8.4.27에서 수정됨). 취약점은 앱이 아닌 엔진에 존재합니다. 작은 PHP 애플리케이션 계층은 의도적으로 인젝션이 없는 깨끗한 상태입니다. 런타임을 핑거프린팅하고, 권고문과 대조한 뒤, 올바른 탄도학을 선택해야 합니다. 막혔다면? 전체 해설은 docs/SOLUTION.md에 있습니다.

빠른 시작

사전 요구 사항: Compose v2가 포함된 Docker Engine(또는 Windows/macOS의 Docker Desktop) — 그게 전부입니다. 호스트에 PHP 툴체인은 필요하지 않습니다. Windows 10/11 (WSL2), Linux, macOS에서 동작합니다. CPU가 어떤 익스플로잇 체인을 지원하는지는 아래 플랫폼 관련 안내를 참고하세요.

git clone https://github.com/taniungou/php2shell-lab.git
cd php2shell-lab
docker compose up -d --build          # first build pulls the pinned base image

http://localhost:18901을 열고 사용자 demo(비밀번호 change-me-demo)로 로그인하여 앱에 접근하세요. 여기서부터는 블랙박스입니다. 나머지는 직접 알아내야 합니다.

자신만의 플래그 값과 계정 비밀번호를 원하시나요? private.ini를 편집한 후:

docker compose build \
  --build-arg FLAG_LOCAL=flag{...} \
  --build-arg FLAG_PROOF=flag{...}

관리 명령:

docker compose logs -f                # watch the target
docker compose down -v && docker compose up -d --build   # full reset (re-arms the leak window)
docker compose down                   # stop and free resources

플래그는 OverTheWire 스타일입니다:

flag	path	readable by
local.txt	/var/www/local.txt	www-data
proof.txt	/root/proof.txt	root only

만만치 않은 이유

• 앱 수준이 아닌 엔진 수준. SQLi도, 업로드 우회 퍼즐도 없습니다. 이 박스는 PHP2Shell 영향 범위 내의 PHP 버전을 실행하며, 나머지는 모두 여러분의 몫입니다.
• 설계상 누출되지만, 처음에만. 중요한 힙 노출 프리미티브는 부팅 후 좁은 수명 창을 가집니다. 이런 부류의 랩 클론 대부분은 문을 영원히 열어두지만, 이 랩은 (의도적으로) 닫습니다. 정직하게 플레이하세요: 먼저 누출을 맞히고, 그다음 정찰 — 탐색에 쓴 창 시간은 다음 up 전까지 영구히 사라집니다.
• proof.txt로 가는 두 가지 권한 경로가 있으며 우아함 등급이 다릅니다. 최소 하나는 실사격으로 검증되었고, 실제 플릿으로 확장 가능한 것은 하나뿐입니다.
• 실사격으로 보정됨. 이 타깃은 여러 공격 라운드에 걸쳐 자율 펜테스트 에이전트를 대상으로 개발되었습니다(트랜스크립트는 docs/SOLUTION.md에 있음). 우리 보정 장비 (Apple M5 Ultra, 로컬 Qwen3.8-Flash-Next)에서 기록된 가장 빠른 에이전트 실행은 두 플래그 모두 약 15분이었습니다. 다른 모델이나 호스트는 더 빠르거나 느릴 수 있으니, 이를 리더보드가 아닌 하나의 데이터 포인트로 취급하세요. 현실적인 인간 기대치는 2~4시간입니다.

플랫폼 관련 안내 (이슈를 올리기 전에 읽어보세요)

PHP2Shell의 공개 RCE 착지 익스플로잇은 x86_64 커널 힙 레이아웃을 가정합니다. Apple Silicon(및 Windows-on-ARM 같은 다른 aarch64 호스트)에서는 누출 프리미티브는 착지하지만 RCE 착지는 되지 않습니다. 우리는 이를 에뮬레이션 환경의 amd64, 네이티브 arm64, 그리고 권고문 저자들의 참조 구성(calif.io/php2shell, x86_64 Linux)에서 검증했습니다. ARM 호스트에서 의도된 해법은 RCE 체인이 아닌 노출 체인입니다. 이는 x86_64를 포함한 모든 환경에서 동작합니다. 자세한 내용: docs/PLATFORM-MATRIX.md.

리소스

• CPU 2개 / RAM 1 GB 제한 — 다른 랩 박스 옆에서 실행해도 안전합니다.
• 실제 환경의 어떤 비밀 정보도 포함되지 않으며, 모든 자격 증명은 가짜입니다.

해설

전체 킬 체인, 오프셋, 라운드별 공격 트랜스크립트: docs/SOLUTION.md — 이 섹션이 맨 아래에 있다는 것으로 스포일러가 보호됩니다, 약속합니다.

라이선스

MIT — 자유롭게 확장하고, 포크하고, 교육에 사용하세요(출처 표기는 감사히 받겠습니다).