Cloudflare-ը գործարկում է PHP Capture the Flag մարտահրավեր

Cloudflare-ը HackerOne-ում իր Bug Bounty ծրագրի միջոցով գործարկել է PHP Capture the Flag մարտահրավեր։ Մարտահրավերը դիտավորյալ խոցելի PHP տեղադրումը տեղադրում է ընկերության WAF-ի հետևում և հրավիրում անվտանգության հետազոտողներին շրջանցել պաշտպանությունը, շահագործել ավազարկղը և վերականգնել դրոշը։ Այն կենտրոնացած է CVE-2026-109618 և CVE-2026-109619 խոցելիությունների վրա, որոնք ընկած են php2shell-ի հիմքում։

Ինչպես է աշխատում մարտահրավերը

Թիրախը գործարկում է ստանդարտ PHP 8.5.11՝ ստանդարտ PHP ընդլայնումներով, Apache 2՝ mod_php միջոցով, և դատարկ index.php՝ Cloudflare Container-ի ներսում։ Թիրախի առջև միացված են այս խոցելիությունների համար նախատեսված լռելյայն WAF պաշտպանության կանոնները։ Ավազարկղի ներսում կա /flag անունով ֆայլ, և ավազարկղը վերակայվում է յուրաքանչյուր մի քանի րոպեն մեկ՝ ներառյալ դրոշի ֆայլը։ Հետազոտողները պետք է շրջանցեն WAF-ը, շահագործեն PHP ավազարկղը և վերականգնեն /flag-ի բովանդակությունը։ Մարտահրավերի էջը տրամադրում է միջավայրի մանրամասներ, շրջանակ և դրոշի ստուգման ձև, իսկ հետազոտողները կարող են օգտագործել սեփական հետազոտական գործիքները։

Մասնակցության իրավունք և հաշվետվություն

Բոլոր մասնակիցները պետք է գրանցվեն HackerOne հաշիվ և մասնակցությունից առաջ վերանայեն ու համաձայնվեն Bounty Terms-ի հետ։ Ընդունելի ներկայացումը պետք է ցույց տա հարձակվողի կողմից վերահսկվող PHP կոդի կամ հրամանների կատարում ավազարկղում՝ լիազորված POST հարցման միջոցով, այդ հեռակա կոդի կատարումը օգտագործի /flag-ի ընթացիկ բովանդակությունը վերականգնելու համար և ստուգի դրոշը CTF ինտերֆեյսի միջոցով՝ մինչև վերակայումը։ Այնուհետև հետազոտողները պետք է HackerOne-ում Cloudflare-ին ուղարկեն մասնավոր զեկույց՝ PHP CTF վերնագրում, որը պետք է ներառի վերջնակետ, payload, հարցման հաջորդականություն, հում գրավումներ կամ ապացույցի հայեցակարգ, բացատրություն, attempt ID, ստուգման արդյունք, ժամանակային դրոշմանիշներ և կապված ներկայացումներ։ Ֆայլի բացահայտումը առանց հեռակա կոդի կատարման, հեռակա կոդի կատարումը առանց դրոշի հաջող վերականգնման և UI ստուգման, միայն տեղային շահագործումները, հայտնի PHP խոցելիությունների վերահայտնաբերումը և առանց լիարժեք նպատակի մասնակի շղթաները ընդունելի չեն համարվում։ Պարգևները պահանջում են էապես տարբեր WAF շրջանցման մեթոդ։ Նույն Firewall-ի շրջանցման մեխանիզմով ներկայացումները կրկնօրինակներ են։ UI ստուգումը HackerOne զեկույց չի ուղարկում և հաշվետվության առաջնահերթություն չի սահմանում։

Շրջանակ և անվտանգություն

Փորձարկումը լիազորված է միայն մարտահրավերի հոսթի անունի WAF-ով պաշտպանված /php/* վերջնակետերի դեմ՝ POST մեթոդով։ Այլ Cloudflare ծառայությունները, հիմքում ընկած ենթակառուցվածքին ուղղակի մուտքը, վերադաս PHP նախագիծը և երրորդ կողմի համակարգերը շրջանակից դուրս են։ Արգելված են ծառայության մերժումը, բարձր ծավալի սկանավորումը, համակարգում ամրակայումը, սոցիալական ինժեներիան և այլ մասնակիցների դեմ հարձակումները։ Եթե 429 կամ 503 պատասխան է ստացվում, հետազոտողները պետք է նահանջեն։ Cloudflare-ը իրավունք է վերապահում ցանկացած ժամանակ կասեցնել կամ դադարեցնել մարտահրավերը։ 2026 թվականի հոկտեմբերի 30-ի թարմացման համաձայն՝ CTF-ը բաց է մնում, իսկ կառավարվող կանոնների փոփոխությունների մանրամասները հասանելի են Cloudflare WAF-ի փոփոխությունների մատյանում։ Մասնակիցներից խնդրվում է օգտագործել միայն փորձնական տվյալներ և չուղարկել հավատարմագրեր կամ անձնական տեղեկություններ։

Կարկատելու փոխարինող չէ

Cloudflare-ի WAF-ը պաշտպանում է համակարգերը, բայց չի փոխարինում խոցելի ծրագրային ապահովման կարկատելուն։ Պատասխանի արգելափակումը կարող է կանխել բացահայտված տվյալների հասնելը հարձակվողին, բայց չի կարող հետ բերել ծագման կետում արդեն կատարված գործողությունները։ PHP գործարկող յուրաքանչյուրը պետք է հետևի վերջին PHP անվտանգության խորհրդատվություններին և կիրառի համապատասխան թարմացումները։ Մարտահրավերը հաջորդում է մի շաբաթի, որի ընթացքում վտանգվել են ութ eMudhra միջանկյալ վկայագրեր և ի հայտ են եկել php2shell PHP խոցելիությունները։ Cloudflare-ը թողարկել է հաճախորդային թարմացումներ և բազմաթիվ մեղմացումներ, թարմացրել է WAF-ը նոր կանոններով և ներմուծել լիարժեք գործարքների հայտնաբերում, որոնք հասանելի են բոլոր պլաններում, այդ թվում՝ Free պլանում։

Աղբյուրներ: Cloudflare