BERIALABS / playground

LAB 001 · COMUNIDAD PRIVADA

Seguridad web / inclusión de ficheros

PHP2Shell

Un servicio de archivo con un visor de documentos que se fía de la ruta que le pasas. Entra como el worker web, lee la evidencia del analista y llega a root.

El visor incluye ficheros del sistema sin sanear. PHP 8.4.26 está afectado por CVE-2026-109618 y CVE-2026-109619: el recorrido del reto pasa por el mismo callback de session.upload_progress que ellos, con una cadena que se resuelve sin depender de ASLR.

  • Linux
  • Web
  • LFI
  • Privesc
  • Fácil
Sistema
Debian · Linux
Superficie
Apache + PHP 8.4.26
Aplicación
Archivo · visor de documentos
Acceso
WireGuard privado
Sesión
25 minutos, sin prórroga
Puntos
40 · 20 por flag

Tu máquina

Sin iniciar
Objetivo — . — . — . —
Tiempo 25:00
Sesión —

Introduce tu código personal para reservar una máquina.

Evidencias

0 / 2
01

User

primer acceso

La evidencia del analista está en su directorio, protegida para el usuario del servicio web.

○
02

Root

escalada local

El equipo de soporte dejó una herramienta con más permisos de los que necesita.

○

Conecta. Investiga. Aprende.

  1. 01
    Inicia tu máquina. Se reserva una instancia solo para ti y arranca en frío.
  2. 02
    Importa el túnel. El archivo .conf es personal, se renueva en cada sesión y caduca con ella.
  3. 03
    Abre la IP del objetivo. El túnel solo enruta esa máquina. Para una shell, usa conexiones entrantes al objetivo.

Una sesión activa por miembro y tres arranques por hora. Al agotarse el tiempo, la máquina, el túnel y las flags se destruyen.

Sesión marcada

No uses IA. Aprende hacking.

Has llegado demasiado rápido y sin fallar una sola vez. Esto va de leer la máquina, no de pegarle un prompt a un modelo.
Fuentes y pistas Aviso oficial de PHP CVE-2026-109618 CVE-2026-109619

Dentro de la máquina: revisa las notas de operaciones y los permisos de soporte. El visor incluye rutas del sistema; el resto es la cadena de siempre: ejecutar como el worker web y escalar con lo que encuentres. El intérprete está en una versión afectada por PHP2Shell; explotarlo a pelo exige una cadena de memoria que los PoC públicos todavía no cierran contra este build.