Cloudflare PHP Capture the Flag yarışmasını işə saldı

Cloudflare HackerOne üzərindəki Bug Bounty proqramı vasitəsilə PHP Capture the Flag yarışmasını işə salıb. Yarışma qəsdən zəif PHP quraşdırmasını şirkətin WAF arxasına qoyur və təhlükəsizlik tədqiqatçılarını qorunmanı keçməyə, qum qutusunu istismar etməyə və bayrağı əldə etməyə dəvət edir. Yarışma php2shell arxasındakı iki PHP zəifliyi olan CVE-2026-109618 və CVE-2026-109619 üzərində qurulub.

Yarışma necə işləyir

Hədəf Cloudflare Container içində standart PHP genişləndirmələri ilə PHP 8.5.11, mod_php vasitəsilə Apache 2 və boş index.php ilə işləyir. Bu zəifliklər üçün standart WAF qorunma qaydaları onun qarşısında aktivdir. Qum qutusunun içində /flag adlı fayl var və qum qutusu hər neçə dəqiqədən bir, o cümlədən flag faylı sıfırlanır. Tədqiqatçılar WAF qorunmasını keçməli, PHP qum qutusunu istismar etməli və /flag məzmununu əldə etməlidirlər. Yarışma səhifəsi mühit təfərrüatları, əhatə dairəsi və bayraq yoxlama forması təqdim edir və tədqiqatçılar öz tədqiqat alətlərindən istifadə edə bilərlər.

Uyğunluq və hesabat

Bütün iştirakçılar HackerOne hesabı açmalı və iştirak etmədən əvvəl Bounty Terms sənədini nəzərdən keçirib razılaşmalıdırlar. Uyğun göndəriş zəif qum qutusunda səlahiyyətli POST sorğusu vasitəsilə hücumçunun idarə etdiyi PHP kodu və ya əmr icrasını göstərməli, bu uzaqdan kod icrasından istifadə edərək /flag faylının cari məzmununu əldə etməli və sıfırlanmadan əvvəl CTF istifadəçi interfeysi vasitəsilə bayrağı yoxlamalıdır. Daha sonra tədqiqatçılar HackerOne üzərində Cloudflare-ə gizli hesabat göndərməli, başlıqda PHP CTF yazmalı, endpoint, payload, sorğu ardıcıllığı, xam qeydlər və ya konsept sübutu, izahat, cəhd ID-si, yoxlama nəticəsi, zaman damğaları və əlaqəli göndərişləri daxil etməlidirlər. Uzaqdan kod icrası olmadan fayl açıqlanması, uğurlu bayraq əldə etmədən və UI yoxlaması olmadan uzaqdan kod icrası, yalnız lokal istismarlar, məlum PHP zəifliklərinin yenidən kəşfi və tam məqsəd olmadan qismən zəncirlər uyğun deyil. Mükafatlar əsaslı şəkildə fərqli WAF keçmə üsulu tələb edir; eyni Firewall keçmə mexanizmindən istifadə edən hesabatlar təkrar sayılır. UI yoxlaması HackerOne hesabatı göndərmir və hesabat prioritetini müəyyən etmir.

Əhatə dairəsi və təhlükəsizlik

Sınaq yalnız yarışmanın host adının WAF ilə qorunan /php/* endpoint-lərinə və yalnız POST metodu ilə icazəli sayılır. Digər Cloudflare xidmətləri, alt infrastruktura birbaşa giriş, PHP-in mənbə layihəsi və üçüncü tərəf sistemlər əhatə dairəsindən kənardır. Xidmətin rədd edilməsi (DoS), yüksək həcmli skan, davamlılıq, sosial mühəndislik və digər iştirakçılara hücum qadağandır; 429 və ya 503 cavabı alınsa, tədqiqatçılar geri çəkilməlidirlər. Cloudflare istənilən vaxt yarışmanı dayandırmaq və ya bitirmək hüququnu özündə saxlayır. 30 oktyabr 2026-cı il yeniləməsinə görə CTF açıq qalır və idarə olunan qayda dəyişikliklərinin təfərrüatları Cloudflare WAF dəyişiklik jurnalında mövcuddur. İştirakçılardan yalnız test məlumatlarından istifadə etmək və etimad məlumatları və ya şəxsi məlumat göndərməmək xahiş olunur.

Yamağın əvəzi deyil

Cloudflare WAF sistemləri qoruyur, lakin zəif proqram təminatını düzəltmənin əvəzi deyil. Cavab bloklaması açıq məlumatların hücumçuya çatmasının qarşısını ala bilər, lakin mənbə serverdə artıq yerinə yetirilmiş əməlləri geri qaytara bilməz. PHP işlədən hər kəs ən son PHP təhlükəsizlik tövsiyələrinə əməl etməli və müvafiq yeniləmələri tətbiq etməlidir. Yarışma səkkiz eMudhra ara sertifikatının pozulduğu və php2shell PHP zəifliklərinin ortaya çıxdığı həftəni izləyir; Cloudflare müştəri yeniləmələri və bir neçə yumşaltma tədbiri göndərib, WAF-ını yeni qaydalarla yeniləyib və tam əməliyyat aşkarlamasını təqdim edib, bu imkanlar Free daxil olmaqla bütün planlarda mövcuddur.

Mənbələr: Cloudflare