php2shell-lab

English | 日本語 | 中文

Цель для black-box захвата флага, построенная вокруг PHP2Shell — семейства уязвимостей повреждения памяти движка PHP 2026 года (CVE-2026-109618 / CVE-2026-109619, CVSS 9.8/9.2, исправлено в PHP 8.4.27). Уязвимость находится в движке, а не в приложении: крошечный слой PHP-приложения намеренно чист от инъекций. Вам нужно определить сигнатуру среды выполнения, сопоставить её с рекомендацией и выбрать правильную баллистику. Застряли? Полное прохождение в docs/SOLUTION.md.

Быстрый старт

Требования: Docker Engine (или Docker Desktop на Windows/macOS) с Compose v2 — и всё. PHP-инструментарий на хосте не нужен. Работает на Windows 10/11 (WSL2), Linux и macOS; см. примечание о платформах ниже, чтобы узнать, какую цепочку эксплуатации поддерживает ваш процессор.

git clone https://github.com/tani2shell/php2shell-lab.git
cd php2shell-lab
docker compose up -d --build          # first build pulls the pinned base image

Откройте http://localhost:18901 и войдите как пользователь demo (пароль change-me-demo), чтобы попасть в приложение. С этого момента машина представляет собой чёрный ящик: разберитесь с остальным сами.

Хотите свои значения флагов и пароли учётных записей? Отредактируйте private.ini, затем:

docker compose build \
  --build-arg FLAG_LOCAL=flag{...} \
  --build-arg FLAG_PROOF=flag{...}

Обслуживание:

docker compose logs -f                # watch the target
docker compose down -v && docker compose up -d --build   # full reset (re-arms the leak window)
docker compose down                   # stop and free resources

Флаги в стиле OverTheWire:

флаг	путь	доступен для чтения
local.txt	/var/www/local.txt	www-data
proof.txt	/root/proof.txt	только root

Что делает её нетривиальной

• На уровне движка, а не приложения. Никаких SQLi, никаких головоломок с обходом загрузки файлов. Машина запускает версию PHP в пределах уязвимого диапазона PHP2Shell; всё остальное — ваша задача.
• Утечка по замыслу, но только поначалу. Примитив раскрытия кучи, который имеет значение, имеет узкое временное окно после загрузки — большинство клонов этого класса лабораторий оставляют дверь открытой навсегда; эта закрывает её (намеренно). Играйте честно: сначала утечка, потом разведка — время окна, потраченное на осмотр, потеряно навсегда до следующего up.
• Два пути к привилегиям для proof.txt с разной степенью изящества. По крайней мере один проверен в боевых условиях; только один масштабируется на реальный парк машин.
• Откалибрована в боевых условиях. Цель разрабатывалась против автономного агента для пентеста на протяжении нескольких раундов атак (транскрипты в docs/SOLUTION.md). Самое быстрое зафиксированное прохождение агента на нашей калибровочной установке (Apple M5 Ultra, локальная Qwen3.8-Flash-Next): ~15 минут до обоих флагов — другие модели или хосты могут справиться быстрее или медленнее, так что считайте это одной точкой данных, а не таблицей лидеров. Реалистичное ожидание для человека: 2–4 часа.

Примечание о платформах (прочитайте перед созданием issue)

Публичные эксплойты для RCE-приземления PHP2Shell предполагают раскладку кучи ядра x86_64. На Apple Silicon (и других хостах aarch64, таких как Windows-on-ARM) примитивы утечки срабатывают, но RCE-приземление — нет — мы проверили это на amd64 под эмуляцией, arm64 нативно и в эталонной конфигурации авторов рекомендации (calif.io/php2shell, x86_64 Linux). На ARM-хостах предполагаемое решение — цепочка раскрытия, а не RCE- цепочка — она работает везде, включая x86_64. Подробности: docs/PLATFORM-MATRIX.md.

Ресурсы

• Ограничение 2 CPU / 1 ГБ RAM — безопасно запускать рядом с другими лабораторными машинами.
• Никакие секреты из реальных сред не встроены; все учётные данные поддельные.

Решения

Полная цепочка атаки, смещения и транскрипты атак по раундам: docs/SOLUTION.md — защищено от спойлеров тем, что этот раздел находится в самом низу, обещаю.

Лицензия

MIT — создавайте на её основе, форкайте, используйте в тренингах (указание авторства приветствуется).