Introducing the Cloudflare PHP Capture the Flag challenge

介绍 Cloudflare PHP 捕获旗帜挑战 | Cloudflare 博客

post

漏洞

WAF

漏洞赏金

PHP

安全

2026年10月27日

介绍 Cloudflare PHP 捕获旗帜挑战

Celso Martinho ， Â Sven Sauleau ， Â 和Â Dan Jones

5分钟阅读

复制链接

上周载入互联网安全史册。首先，八个 eMudhra 中间证书被泄露，导致可能伪造证书用于服务器伪装。随后出现 php2shell ：PHP 运行时（支撑着大量网站）中的严重漏洞。

Cloudflare 在这些事件发生时全天候工作，保护客户并协助保护互联网。我们发布了客户端更新和多项缓解措施，更新了网络应用防火墙（WAF）的新规则以阻止攻击者利用 PHP 漏洞，并推出了名为完整事务检测的新功能。

在这些情况下，如往常一样，这些新功能在所有计划中开放，包括免费版。

测试我们的 WAF

保护系统免受此类漏洞的侵害是一个持续过程，而非一次性事件。人工智能的广泛应用使攻击者能以前所未有的速度和效率发现新攻击路径，因此收集真实世界数据以验证假设并强化防御至关重要。

这就是我们今天通过漏洞赏金计划推出 Cloudflare PHP 捕获旗帜挑战的原因。我们在 WAF 后面放置了一个故意存在漏洞的 PHP 安装，并邀请 HackerOne 上的安全研究人员尝试绕过防护并捕获旗帜。

捕获旗帜（CTF）挑战机制

我们保持简单。该挑战聚焦于 CVE-2026-109618 和 CVE-2026-109619 ，这两个导致 php2shell 的 PHP 漏洞。目标系统运行标准 PHP 8.5.11（带标准 PHP 扩展）、Apache 2（通过 mod_php），以及 Cloudflare 容器内的空 index.php ，其前面启用了针对这些漏洞的默认 WAF 防护规则。沙箱内部有一个名为 /flag 的文件。

沙箱每隔几分钟会重置，包括 flag 文件。

发送攻击载荷、捕获并验证旗帜的示意图。

如果你选择接受任务，你的使命是：绕过 WAF 防护，利用 PHP 沙箱，恢复 /flag 内容。你可以使用自己的研究工具。挑战页面包含环境详情、范围和旗帜验证表单。

挑战要求

这项限时挑战通过 HackerOne 上的 Cloudflare 漏洞赏金计划进行。该挑战的所有方面均受 HackerOne 条款 和 Cloudflare HackerOne 计划规则（“赏金条款”）约束。如果你发现符合条件的绕过方式，必须遵守以下要求才能申领赏金：

• 所有参与者必须注册 HackerOne 账户，并在参与 CTF 前审查并同意赏金条款。
• 通过授权的 POST 请求演示攻击者控制的 PHP 代码或命令在沙箱内的执行。
• 使用该远程代码执行（RCE）恢复 /flag 当前内容，然后通过 CTF 用户界面（UI）成功验证旗帜。重置前及时验证；保留成功结果供后续审查。

• 向 HackerOne 向 Cloudflare 提交一份私有报告。标题中包含 PHP CTF，并提供以下信息：漏洞端点、完整攻击载荷和请求序列（保留相关请求头、编码和请求体字节）。原始请求/响应捕获或可读的可复现概念证明，足以重现完整攻击链。解释绕过 WAF 的方法、执行的代码或命令，以及如何通过该执行获取 /flag。尝试的 ID、成功的用户界面验证结果以及攻击/验证的 UTC 时间戳。如需验证，可私下提供 flag。说明该方法或载荷在技术上的实质性区别，以及你所了解的相关提交情况。

用户界面验证不会提交 HackerOne 报告或确定报告优先级。仅泄露文件但未实现远程代码执行（RCE）、实现 RCE 但未成功获取 flag 或完成用户界面验证、仅限本地的漏洞利用、已知 PHP 漏洞的重新发现、WAF 检测差异或未达成完整目标的部分攻击链均不符合提交资格。

奖项要求使用在技术上实质性不同的绕过方法或攻击载荷，即使涉及相同的 PHP CVE。新的 flag、重置、尝试 ID 或外观修改（包括等效编码）均不视为独特。即使未修复，等效提交仍视为重复；只有第一个完整且可复现的 HackerOne 报告会被考虑。Cloudflare 拥有最终决定重复提交和奖励的权力。

我们记录尝试的元数据和请求载荷，以帮助分析报告，因此请仅使用测试数据。不要发送凭证、个人信息或任何你不愿意包含在研究记录中的内容。测试前请阅读 Cloudflare 的隐私声明。

测试仅授权针对挑战主机名的 WAF 保护的 /php/* 端点（仅限 POST 方法）。其他 Cloudflare 服务、直接访问底层基础设施、上游 PHP 项目以及第三方系统均超出范围。禁止拒绝服务、高流量扫描、持久化、社会工程或对其他参与者的攻击。如果收到 429 或 503 响应，请停止请求。

如果本文与赏金条款存在任何冲突，赏金条款具有优先效力。

Cloudflare 保留随时暂停或终止本挑战的权利。一旦挑战从 HackerOne 移除，即视为正式终止，请参考 Cloudflare HackerOne 页面获取挑战是否仍开放的最新信息。

不是补丁的替代方案

我们的 WAF 为你提供保护，但它不能替代修复漏洞软件。响应阻断可以防止暴露的数据到达攻击者，但无法撤销已在源端执行的操作。如果你运行 PHP，请遵循最新的 PHP 安全公告并应用相关更新。

上周提醒我们，构建更好的互联网往往需要许多人的共同努力——研究人员、维护者和行业内的团队一起完成困难而紧迫的工作。

我们希望这个挑战能为每个人提供一个有用的参与方式。如果你想参与，请前往 php-rce.cloudflare.app：flag 就在那里，我们想看看你是否能获取它。

目录列

讨论列

相关标签和社交媒体链接

相关标签

关注社交媒体

• Cloudflare

• Celso Martinho

• Sven Sauleau

电子邮件订阅