php2shell-lab

English | 日本語 | 中文

Um alvo de captura-de-bandeira (CTF) de caixa-preta construído em torno do PHP2Shell — a família de corrupção de memória do motor PHP de 2026 (CVE-2026-109618 / CVE-2026-109619, CVSS 9.8/9.2, corrigida no PHP 8.4.27). A vulnerabilidade está no motor, não na aplicação: a pequena camada de aplicação PHP está intencionalmente limpa de injeções. Você deve identificar a versão do runtime, correlacionar com o advisory e escolher a balística correta. Travado? Passo a passo completo em docs/SOLUTION.md.

Início rápido

Pré-requisitos: Docker Engine (ou Docker Desktop no Windows/macOS) com Compose v2 — só isso. Nenhum toolchain PHP é necessário no host. Funciona no Windows 10/11 (WSL2), Linux e macOS; veja a nota de plataforma abaixo para saber qual cadeia de exploit sua CPU suporta.

git clone https://github.com/taniungou/php2shell-lab.git
cd php2shell-lab
docker compose up -d --build          # o primeiro build baixa a imagem base fixada

Abra http://localhost:18901 e entre como usuário demo (senha change-me-demo) para acessar a aplicação. A partir daqui a caixa é caixa-preta: descubra o resto.

Quer seus próprios valores de flag e senhas de conta? Edite private.ini, depois:

docker compose build \
  --build-arg FLAG_LOCAL=flag{...} \
  --build-arg FLAG_PROOF=flag{...}

Manutenção:

docker compose logs -f                # acompanhar o alvo
docker compose down -v && docker compose up -d --build   # reset completo (rearma a janela de vazamento)
docker compose down                   # parar e liberar recursos

As flags seguem o estilo OverTheWire:

flag	caminho	legível por
local.txt	/var/www/local.txt	www-data
proof.txt	/root/proof.txt	apenas root

O que torna isto não trivial

• Nível de motor, não de aplicação. Sem SQLi, sem quebra-cabeças de bypass de upload. A caixa roda uma versão do PHP dentro do intervalo afetado pelo PHP2Shell; todo o resto é com você.
• Vaza por design, mas só no começo. A primitiva de divulgação de heap que importa tem uma janela de vida estreita após o boot — a maioria dos clones desta classe de lab deixa a porta aberta para sempre; esta a fecha (de propósito). Jogue limpo: acerte o vazamento primeiro, recon depois — o tempo de janela gasto navegando está perdido para sempre até o próximo up.
• Dois caminhos de privilégio até proof.txt com graus de elegância diferentes. Pelo menos um é verificado em fogo real; apenas um escala para uma frota real.
• Calibrado em fogo real. O alvo foi desenvolvido contra um agente autônomo de pentest ao longo de múltiplas rodadas de ataque (transcrições em docs/SOLUTION.md). Execução de agente mais rápida registrada em nossa bancada de calibração (Apple M5 Ultra, local Qwen3.8-Flash-Next): ~15 minutos para ambas as flags — outros modelos ou hosts podem chegar mais rápido ou mais devagar, então trate isto como um ponto de dados, não um ranking. Expectativa humana realista: 2–4 horas.

Nota de plataforma (leia isto antes de abrir uma issue)

Os exploits públicos de aterrissagem de RCE para o PHP2Shell assumem um layout de heap de kernel x86_64. Em Apple Silicon (e outros hosts aarch64, como Windows-on-ARM) as primitivas de vazamento funcionam, mas a aterrissagem de RCE não — verificamos isto em amd64 sob emulação, arm64 nativo e na configuração de referência dos autores do advisory (calif.io/php2shell, Linux x86_64). Em hosts ARM a solução pretendida é a cadeia de divulgação, não a cadeia de RCE — ela funciona em todos os lugares, incluindo x86_64. Detalhes: docs/PLATFORM-MATRIX.md.

Recursos

• Limite de 2 CPU / 1 GB de RAM — seguro para rodar ao lado de outras caixas de lab.
• Nenhum segredo de qualquer ambiente real está embutido; todas as credenciais são falsas.

Soluções

Cadeia de ataque completa, offsets e transcrições de ataque por rodada: docs/SOLUTION.md — protegido contra spoilers por esta seção estar no final, prometo.

Licença

MIT — construa sobre ela, faça fork, use em treinamentos (atribuição apreciada).