Desafio CTF CVE-2024-4577

Visão Geral

Este desafio CTF demonstra a CVE-2024-4577, uma vulnerabilidade crítica de injeção de argumentos em PHP CGI que afeta as versões do PHP 8.1.x < 8.1.21, 8.2.x < 8.2.8 e 8.3.x < 8.3.1.

Detalhes da Vulnerabilidade

A CVE-2024-4577 é uma vulnerabilidade de injeção de argumentos em PHP CGI que ocorre quando o PHP está configurado para executar como um manipulador CGI. Atacantes podem injetar argumentos de linha de comando no interpretador PHP por meio de requisições HTTP maliciosas, potencialmente levando à execução remota de código.

Descrição do Desafio

Você recebe acesso a uma aplicação PHP vulnerável executando em um servidor web. Seu objetivo é explorar a vulnerabilidade CVE-2024-4577 para ler o arquivo de flag localizado em /flag.txt.

Arquivos

• vulnerable-app/ - A aplicação PHP vulnerável
• attack-scripts/ - Scripts de ataque automatizados
• kubernetes/ - Manifestos de implantação Kubernetes
• docker/ - Arquivos de configuração Docker

Começando

Para Testes Locais

1. Implante a aplicação vulnerável usando os manifestos Kubernetes fornecidos
2. Use os scripts de ataque para explorar a vulnerabilidade
3. Leia o arquivo de flag para completar o desafio

Para Implantação na Internet

1. Siga o Guia de Implantação na Internet
2. Implante no GKE/EKS com serviço LoadBalancer
3. Configure o DNS para apontar para seu IP externo
4. O CTF estará acessível mundialmente para os participantes

Objetivos de Aprendizado

• Entender vulnerabilidades de injeção de argumentos em PHP CGI
• Aprender sobre técnicas de contrabando de requisições HTTP (HTTP request smuggling)
• Praticar testes de segurança em aplicações web
• Ganhar experiência com segurança de aplicações containerizadas

Aviso Legal

Este CTF é apenas para fins educacionais. Não use essas técnicas contra sistemas que você não possui ou sem permissão explícita para testar.