Учебная лаборатория CTF по CVE-2026-80428

Образовательный эмулятор механики уязвимости, описанной в CVE-2026-80428 (CWE-502: десериализация недоверенных данных).

Это не реальная установка ILIAS и не готовый к применению эксплойт. Это полностью контейнеризованная изолированная лаборатория для студентов, стажёров и исследователей в области безопасности.

Цели обучения

1. Небезопасная десериализация CWE-502
2. Инъекция PHP-объектов
3. Сериализованные PHP-объекты
4. Манипуляция данными сессии
5. Конечные точки приложения, не требующие аутентификации
6. Жизненный цикл объекта и __destruct()
7. Концепции POP / цепочек гаджетов (только безопасный учебный гаджет)
8. Последствия записи файлов, доступных через веб (в песочнице)
9. Обнаружение и криминалистический анализ
10. Безопасное устранение уязвимости
11. Валидация уязвимости
12. Проверка патча

Архитектура

                    ┌──────────────────────┐
                    │      CTF HOST        │
                    └──────────┬───────────┘
                               │  127.0.0.1:8080
                         Docker Network (ctfnet)
                               │
       ┌───────────────────────┼────────────────────────┐
       │                       │                        │
       ▼                       ▼                        ▼
┌──────────────┐       ┌──────────────┐        ┌──────────────┐
│   ATTACKER   │       │    TARGET    │        │   OBSERVER   │
│ Python/curl  │       │ PHP/Apache   │        │ Logs/Evidence│
│ PHP CLI      │       │ Vulnerable   │        │              │
└──────────────┘       │ Emulator     │        └──────────────┘
                       └──────────────┘

Опциональная пропатченная цель на 127.0.0.1:8081 через профиль Compose patched.

Предварительные требования

• Docker Engine 24+ и Docker Compose v2
• ~1 ГБ свободного места на диске для образов
• Облачные учётные данные не требуются; работает офлайн после загрузки образов

Быстрый старт

git clone https://github.com/shivammittal2403/cve-2026-80428-ctf.git
cd cve-2026-80428-ctf
cp .env.example .env
docker compose build
docker compose up -d
docker compose ps

Открыть: http://127.0.0.1:8080/

Оболочка атакующего:

docker exec -it cve80428-attacker bash

Уровни сложности (1000 баллов)

Уровень	Направление	Баллы
1	Разведка	100
2	Обнаружение сессии	150
3	Сериализация PHP	150
4	Жизненный цикл объекта / деструктор	200
5	Полная цепочка	250
6	Устранение уязвимости (исправленная цель)	150

Сценарий атаки (в образовательных целях)

Unauthenticated Request → LTI (/lti.php) → Session Storage
  → Logout (/logout.php) → unserialize() → Object → __destruct()
  → Controlled write (/drop/) → CTF Flag

См. docs/ATTACK_FLOW.md.

Модель безопасности

• Цель по умолчанию привязана к 127.0.0.1
• Нет Docker-сокета, нет привилегированного режима
• Gadget пишет только в /var/www/html/drop/, используя basename()
• Нет system() / exec() / обратных оболочек
• Шаблоны Nuclei предназначены только для обнаружения

Makefile

make build && make up
make attacker
make health && make test
make reset

Документация

Документ	Аудитория
docs/STUDENT.md	Студенты
docs/INSTRUCTOR.md	Преподаватели
docs/VULNERABILITY.md	Сопоставление реальных CVE ↔ лабораторных работ
docs/ATTACK_FLOW.md	Схемы цепочек атак
docs/REMEDIATION.md	Шаблоны исправлений
docs/SOLUTIONS.md	Только для преподавателей

Лицензия

MIT — только для образовательного использования. См. SECURITY.md.