Laboratório de Treinamento CTF CVE-2026-80428

Emulador educacional da mecânica de vulnerabilidade descrita em CVE-2026-80428 (CWE-502: Desserialização de Dados Não Confiáveis).

Esta não é uma instalação real do ILIAS e não é um pacote de exploit armamentizado. É um laboratório totalmente conteinerizado e isolado para estudantes, estagiários e pesquisadores de segurança.

Objetivos de aprendizagem

1. Desserialização insegura CWE-502
2. Injeção de objetos PHP
3. Objetos PHP serializados
4. Manipulação de dados de sessão
5. Endpoints de aplicação isentos de autenticação
6. Ciclo de vida de objetos e __destruct()
7. Conceitos de POP / cadeia de gadgets (apenas gadget de treinamento seguro)
8. Consequências de escrita de arquivos acessíveis via web (em sandbox)
9. Detecção e análise forense
10. Remediação segura
11. Validação de vulnerabilidade
12. Verificação de patch

Arquitetura

                    ┌──────────────────────┐
                    │      CTF HOST        │
                    └──────────┬───────────┘
                               │  127.0.0.1:8080
                         Docker Network (ctfnet)
                               │
       ┌───────────────────────┼────────────────────────┐
       │                       │                        │
       ▼                       ▼                        ▼
┌──────────────┐       ┌──────────────┐        ┌──────────────┐
│   ATTACKER   │       │    TARGET    │        │   OBSERVER   │
│ Python/curl  │       │ PHP/Apache   │        │ Logs/Evidence│
│ PHP CLI      │       │ Vulnerable   │        │              │
└──────────────┘       │ Emulator     │        └──────────────┘
                       └──────────────┘

Alvo opcional com patch em 127.0.0.1:8081 via perfil Compose patched.

Pré-requisitos

• Docker Engine 24+ e Docker Compose v2
• ~1 GB de disco livre para imagens
• Nenhuma credencial de nuvem necessária; funciona offline após o download das imagens

Início rápido

git clone https://github.com/shivammittal2403/cve-2026-80428-ctf.git
cd cve-2026-80428-ctf
cp .env.example .env
docker compose build
docker compose up -d
docker compose ps

Abra: http://127.0.0.1:8080/

Shell do atacante:

docker exec -it cve80428-attacker bash

Níveis de desafio (1000 pts)

Nível	Foco	Pontos
1	Reconhecimento	100
2	Descoberta de sessão	150
3	Serialização PHP	150
4	Ciclo de vida do objeto / destrutor	200
5	Cadeia completa	250
6	Remediação (alvo corrigido)	150

Fluxo de ataque (educacional)

Unauthenticated Request → LTI (/lti.php) → Session Storage
  → Logout (/logout.php) → unserialize() → Object → __destruct()
  → Controlled write (/drop/) → CTF Flag

Consulte docs/ATTACK_FLOW.md.

Modelo de segurança

• Alvo vinculado a 127.0.0.1 por padrão
• Sem socket Docker, sem modo privilegiado
• O gadget grava apenas em /var/www/html/drop/ usando basename()
• Sem system() / exec() / reverse shells
• Os templates do Nuclei são apenas para detecção

Makefile

make build && make up
make attacker
make health && make test
make reset

Documentação

Documento	Público
docs/STUDENT.md	Estudantes
docs/INSTRUCTOR.md	Instrutores
docs/VULNERABILITY.md	Mapeamento de CVE real ↔ laboratório
docs/ATTACK_FLOW.md	Diagramas de cadeia
docs/REMEDIATION.md	Padrões de correção
docs/SOLUTIONS.md	Somente instrutores

Licença

MIT — apenas para uso educacional. Consulte SECURITY.md.