█████╗ ██╗  ████████╗ █████╗ ██╗   ██╗███████╗███████╗ ██████╗
██╔══██╗██║  ╚══██╔══╝██╔══██╗╚██╗ ██╔╝██╔════╝██╔════╝██╔════╝
███████║██║     ██║   ███████║ ╚████╔╝ ███████╗█████╗  ██║     
██╔══██║██║     ██║   ██╔══██║  ╚██╔╝  ╚════██║██╔══╝  ██║     
██║  ██║███████╗██║   ██║  ██║   ██║   ███████║███████╗╚██████╗
╚═╝  ╚═╝╚══════╝╚═╝   ╚═╝  ╚═╝   ╚═╝   ╚══════╝╚══════╝ ╚═════╝

Modern web uygulamalarında sıkça karşılaşılan Server-Side Template Injection (SSTI) zafiyetlerini anlamak ve pratik yapmak için hazırlanmış, 3 seviyeli (CTF tarzı) bir laboratuvardır.

Bu lab, katılımcının basitten ileri seviyeye doğru ilerleyerek SSTI açıklarını keşfetmesini ve sömürmesini hedefler.

Bu laboratuvar sayesinde:

• SSTI zafiyetlerini tanıyabilir
• Farklı template engine davranışlarını gözlemleyebilir
• WAF bypass tekniklerini deneyimleyebilir
• Gerçek hayata yakın exploitation senaryoları çözebilirsin

Proje tamamen Docker tabanlıdır ve her seviye izole container içinde çalışır.

• Her level ayrı bir servis olarak çalışır
• Portlar manuel karışıklık olmayacak şekilde sabitlenmiştir
• Tüm sistem docker-compose ile tek komutla ayağa kalkar

Labı çalıştırmak için:

• Docker
• Docker Compose

git clone <repo-link>
cd <repo-klasörü>

docker-compose up --build

Bu komut:

• Tüm container'ları build eder
• Gerekli bağımlılıkları yükler
• 3 farklı lab ortamını aynı anda başlatır

Kurulum tamamlandıktan sonra tarayıcıdan direkt erişebilirsin:

• Her level bağımsızdır
• Her seviyede bir flag bulunur
• Doğru exploit yapıldığında ACCESS GRANTED çıktısı alınır

Meryem Betül Çelik 2026