Cloudflare在HackerOne推出PHP漏洞靶场挑战

上周对互联网安全来说不算平静。先是八张eMudhra中间证书被攻破，留下了伪造证书冒充服务器的可能；紧接着是php2shell——PHP运行时里被曝出的严重漏洞，而PHP支撑着Web的一大部分。

Cloudflare在这两起事件推进的过程中持续运转，发布客户端更新、上线多项缓解措施，并为Web应用防火墙（WAF）补充新规则，阻断攻击者利用PHP漏洞。同时推出了一项名为全事务检测的新能力。这些新能力在所有套餐上开放，包括免费版。

防护从来不是一次性动作。Cloudflare给出的判断是：AI的广泛采用让攻击者以前所未有的速度和效率发现新路径，因此收集真实世界数据来检验假设、加固防线是必要的。于是有了这场Cloudflare PHP Capture the Flag挑战赛，通过其Bug Bounty项目在HackerOne上运行。

规则很直接：一套故意留有漏洞的PHP环境被放在WAF之后，安全研究人员的目标是绕过防护、拿到flag。挑战聚焦CVE-2026-109618和CVE-2026-109619，也就是php2shell背后的两个PHP漏洞。

靶场环境是：原版PHP 8.5.11（含标准PHP扩展）、Apache 2（通过mod_php），一个空的index.php，跑在Cloudflare Container里，前方启用针对这些漏洞的默认WAF防护规则。沙箱内有一个名为/flag的文件。沙箱每隔几分钟重置一次，flag文件一并重置。

任务就是绕过WAF防护、利用PHP沙箱、取回/flag的内容。参赛者可以使用自己的研究工具，挑战页面提供环境细节、范围和flag验证表单。

这是一场限时挑战，走Cloudflare在HackerOne上的Bug Bounty项目，全部环节受HackerOne条款和Cloudflare项目规则（即Bounty Terms）约束。找到符合条件的绕过方式后，要领取赏金需满足以下要求：

• 所有参与者在参赛前须注册HackerOne账号，并阅读同意Bounty Terms。
• 通过一次授权的POST请求，在沙箱内演示攻击者可控的PHP代码执行或命令执行。
• 利用该远程代码执行（RCE）取回/flag的当前内容，再通过CTF用户界面成功验证flag。要在重置前及时验证，并保留成功结果以备后续核查。
• 在HackerOne上向Cloudflare提交私密报告，标题包含PHP CTF，并提供：端点、完整payload和请求序列，保留相关头部、编码和body字节；原始请求/响应抓包，或足以复现完整链条的可读概念验证；对WAF绕过、执行的代码或命令、以及该执行如何取回/flag的说明；尝试ID、UI验证成功结果、利用与验证的UTC时间戳，必要时可私下附上flag用于验证；该方法或payload的实质区别在哪，以及你所知道的相关提交。

UI验证不等于提交HackerOne报告，也不构成报告优先权。以下情形不符合资格：没有RCE的文件泄露、有RCE但未成功取回flag并完成UI验证、仅本地可利用的漏洞、已知PHP漏洞的重复发现、以及只有WAF检测差异或缺少完整目标的半截链条。

奖励要求绕过方法或利用payload具备实质区别，即便针对同一个PHP CVE。新flag、重置、尝试ID或表面改动——包括等价编码——都不算独特。等价提交即使未被修复也算重复；只有第一份完整、可复现的HackerOne报告会被考虑。重复与奖励的最终判定由Cloudflare作出。

系统会记录尝试的元数据和请求payload以协助分析报告，因此只能用测试数据。不要发送凭据、个人信息或任何你不希望进入研究记录的内容。测试前请阅读Cloudflare的隐私声明。

授权测试范围仅限挑战主机名下受WAF保护的/php/*端点，且只允许POST方法。其他Cloudflare服务、直接访问底层基础设施、上游PHP项目以及第三方系统均不在范围内。禁止拒绝服务、高频扫描、持久化、社会工程，禁止攻击其他参与者。遇到429或503请退避。

博客文章与Bounty Terms冲突时，以Bounty Terms为准。Cloudflare保留随时暂停或终止挑战的权利；挑战从HackerOne下架即视为正式终止，是否仍开放请以Cloudflare的HackerOne页面为准。

WAF提供防护，但不能替代修复存在漏洞的软件。响应阻断可以阻止暴露的数据落到攻击者手里，却无法撤销已经在源站执行的动作。运行PHP的用户应跟进最新的PHP安全公告并应用相关更新。

参与入口是php-rce.cloudflare.app。flag就在那里，Cloudflare想知道你能不能拿到它。