ChatBug 0.0.1__tar.gz → 0.1.0__tar.gz

chatbug-0.1.0/PKG-INFO

@@ -0,0 +1,162 @@
+Metadata-Version: 2.4
+Name: ChatBug
+Version: 0.1.0
+Summary: Authorized website vulnerability validation with safe PHP2Shell checks and isolated reproduction labs
+Author-email: ChatArch <rex@chatarch.org>
+License-Expression: MIT
+Project-URL: Homepage, https://github.com/ChatArch/ChatBug
+Project-URL: Repository, https://github.com/ChatArch/ChatBug
+Project-URL: Documentation, https://arch.gh.wzhecnu.cn/ChatBug/
+Keywords: chatbug,chatarch,security,php2shell,cli
+Classifier: Programming Language :: Python :: 3
+Classifier: Programming Language :: Python :: 3 :: Only
+Classifier: Operating System :: OS Independent
+Classifier: Topic :: Security
+Requires-Python: >=3.10
+Description-Content-Type: text/markdown
+License-File: LICENSE
+Requires-Dist: click>=8.0
+Requires-Dist: chatstyle<0.3.0,>=0.2.0
+Provides-Extra: dev
+Requires-Dist: build; extra == "dev"
+Requires-Dist: pytest; extra == "dev"
+Requires-Dist: twine; extra == "dev"
+Provides-Extra: docs
+Requires-Dist: mkdocs<2.0,>=1.6; extra == "docs"
+Requires-Dist: mkdocs-material<9.7,>=9.5; extra == "docs"
+Requires-Dist: mkdocs-static-i18n<2.0,>=1.2; extra == "docs"
+Requires-Dist: mike<3.0,>=2.0; extra == "docs"
+Dynamic: license-file
+
+# ChatBug
+
+ChatBug 是 ChatArch 系列的授权网站漏洞验证包。首个能力聚焦 **PHP2Shell**：先对自己拥有的普通网站做无破坏性版本/入口检查，再用一次性、无真实数据的隔离实验环境复现“运行时 + LFI include gadget → session upload-progress 注入 → `ls/cat` 输出”的完整测试链。
+
+它不是通用攻击框架：不发送 OOM/UAF 崩溃 payload，不对生产执行命令，不提供反弹 shell，也不接受任意远程命令参数。
+
+文档入口：<https://arch.gh.wzhecnu.cn/ChatBug/>
+
+## 适用场景
+
+- 判断自有 PHP 网站是否暴露在受影响版本范围。
+- 用普通 multipart 请求确认上传解析入口是否可达。
+- 用固定、小规模的常见 include 参数形态做**标记文件读取**探测。
+- 在本地进程实验或远端一次性 Docker 实验中，跑通可重复的 `ls -la /tmp` / `cat /tmp/chatbug-marker.txt` 验收。
+- 向团队输出可审计 JSON，区分“版本暴露”“解析器可达”“隔离链复现成功”和“生产利用未证明”。
+
+## 安全边界
+
+| 命令 | 作用对象 | 是否执行命令 | 是否接触生产数据 |
+| --- | --- | --- | --- |
+| `chatbug php2shell web check <URL>` | 自有普通网站 URL | 否 | 否；只发 HEAD、普通 multipart 和固定 gadget 探测 |
+| `chatbug php2shell lab local-list` | 本机临时 HTTP lab | 否；不启动系统 shell | 否；进程内合成数据 |
+| `chatbug php2shell lab docker-list` | 远端一次性内部 Docker lab | 仅 lab 固定 allowlist 命令 | 否；无生产卷、无发布端口、合成 marker |
+
+`docker-list` 复现的是传统、确定性的 PHP `include` 文件包含链：`PHP_SESSION_UPLOAD_PROGRESS` 写入 session 文件，lab-only 的 `include($_GET['page'])` 再包含该文件。它证明“受影响 PHP-FPM 运行时 + 应用存在 LFI gadget”时可以走到 `ls/cat`，**不单独证明 CVE-2026-109618/109619 的内存破坏 RCE**。
+
+## 安装
+
+```bash
+python -m pip install ChatBug
+chatbug --version
+chatbug --tree
+```
+
+开发环境：
+
+```bash
+python -m pip install -e ".[dev]"
+python -m pytest -q
+```
+
+## 快速复现：本机可运行 test case
+
+无需 Docker、无需 root、无需网络：
+
+```bash
+chatbug php2shell lab local-list
+```
+
+成功时输出 JSON，关键字段包括：
+
+- `accepted: true`
+- `positive_status: 200`
+- `negative_status: 200`
+- `positive_output` 包含 `/tmp`、`chatbug-marker.txt` 和随机 marker
+- `negative_body` 只有 `Hello World`，证明普通安全入口不会把 session 文件当 PHP 执行
+
+这个命令也由测试覆盖：
+
+```bash
+python -m pytest -q tests/test_php2shell.py
+```
+
+## 完整隔离复现：PHP-FPM + Nginx
+
+需要一个可通过 SSH 使用 Docker 的自有主机。该命令会：
+
+1. 拉取固定 digest 的 PHP/PHP-FPM 镜像作为运行时；
+2. 生成只含 `Hello World` 和 lab-only `include` sink 的临时 webroot；
+3. 创建 internal Docker network，不发布主机端口；
+4. 在 lab 容器的 `/tmp/chatbug-marker.txt` 写入随机合成 marker；
+5. 从同一内部网络的一次性 client 容器发送 session upload-progress 请求；
+6. 正向请求通过 lab-only LFI sink 返回 `ls/cat` 输出；
+7. 负向请求访问普通 `hello.php`，只返回 `Hello World`；
+8. 删除容器、网络和远端临时目录。
+
+```bash
+chatbug php2shell lab docker-list \
+  --ssh-host <your-ssh-host> \
+  [--fpm-image <digest-pinned-php-fpm-image>] \
+  --proof list-and-marker
+```
+
+`--proof` 只允许三个固定模式：
+
+- `list-tmp`：执行 lab 内 `ls -la /tmp`；
+- `cat-marker`：读取 lab 内合成 marker 文件；
+- `list-and-marker`：同时列目录并读取 marker（默认）。
+
+真实验收输出会在 `positive_output` 中包含 lab 的 `/tmp` 列表、`sess_<id>` 文件、`MARKER` 和随机 marker；负向输出必须保持 `Hello World`。
+
+## 检查自有普通网站
+
+```bash
+chatbug php2shell web check https://example-owned-site.example/
+```
+
+输出字段解释：
+
+- `verdict=vulnerable_version_exposed`：版本头显示在受影响范围，只代表暴露，不代表 RCE；
+- `evidence_tier=tier_2_parser_reachable`：普通 multipart 解析入口可达；
+- `evidence_tier=tier_3_gadget_found`：固定探测中发现服务端返回了独立 marker；
+- `rce_or_file_read_proven=true`：只有在标记不能由请求反射解释、确实从服务端 session 文件包含返回时才成立。
+
+可跳过较重的探测：
+
+```bash
+chatbug php2shell web check https://example-owned-site.example/ --skip-gadget-scan
+```
+
+## 证据层级
+
+ChatBug 不把弱证据升级成强结论：
+
+1. 版本/配置暴露；
+2. 解析器或前置条件可达；
+3. 一次性隔离环境中完成 marker/命令输出验收；
+4. 经单独风险授权后的生产验证；
+5. 第三方真实入侵指标。
+
+对邮件、文档等含真实用户数据的生产服务，不应发送内存破坏、OOM、崩溃或重复利用流量；先用同镜像、无数据 lab 完成验收。
+
+## 文档
+
+- [CLI 树](docs/cli-tree.md)
+- [能力地图](docs/capability-map.md)
+- [Python 接口树](docs/interface-tree.md)
+- [PHP2Shell 复现实验](docs/php2shell-lab.md)
+
+## 开发说明
+
+扩展能力前先阅读 `DEVELOP.md` 和 `AGENTS.md`。新增生产检查必须保持非破坏性；任何需要固定命令以外的实验能力，应先增加独立、隔离、可清理的 lab，而不是扩展远程任意命令接口。

chatbug-0.1.0/README.md

@@ -0,0 +1,132 @@
+# ChatBug
+
+ChatBug 是 ChatArch 系列的授权网站漏洞验证包。首个能力聚焦 **PHP2Shell**：先对自己拥有的普通网站做无破坏性版本/入口检查，再用一次性、无真实数据的隔离实验环境复现“运行时 + LFI include gadget → session upload-progress 注入 → `ls/cat` 输出”的完整测试链。
+
+它不是通用攻击框架：不发送 OOM/UAF 崩溃 payload，不对生产执行命令，不提供反弹 shell，也不接受任意远程命令参数。
+
+文档入口：<https://arch.gh.wzhecnu.cn/ChatBug/>
+
+## 适用场景
+
+- 判断自有 PHP 网站是否暴露在受影响版本范围。
+- 用普通 multipart 请求确认上传解析入口是否可达。
+- 用固定、小规模的常见 include 参数形态做**标记文件读取**探测。
+- 在本地进程实验或远端一次性 Docker 实验中，跑通可重复的 `ls -la /tmp` / `cat /tmp/chatbug-marker.txt` 验收。
+- 向团队输出可审计 JSON，区分“版本暴露”“解析器可达”“隔离链复现成功”和“生产利用未证明”。
+
+## 安全边界
+
+| 命令 | 作用对象 | 是否执行命令 | 是否接触生产数据 |
+| --- | --- | --- | --- |
+| `chatbug php2shell web check <URL>` | 自有普通网站 URL | 否 | 否；只发 HEAD、普通 multipart 和固定 gadget 探测 |
+| `chatbug php2shell lab local-list` | 本机临时 HTTP lab | 否；不启动系统 shell | 否；进程内合成数据 |
+| `chatbug php2shell lab docker-list` | 远端一次性内部 Docker lab | 仅 lab 固定 allowlist 命令 | 否；无生产卷、无发布端口、合成 marker |
+
+`docker-list` 复现的是传统、确定性的 PHP `include` 文件包含链：`PHP_SESSION_UPLOAD_PROGRESS` 写入 session 文件，lab-only 的 `include($_GET['page'])` 再包含该文件。它证明“受影响 PHP-FPM 运行时 + 应用存在 LFI gadget”时可以走到 `ls/cat`，**不单独证明 CVE-2026-109618/109619 的内存破坏 RCE**。
+
+## 安装
+
+```bash
+python -m pip install ChatBug
+chatbug --version
+chatbug --tree
+```
+
+开发环境：
+
+```bash
+python -m pip install -e ".[dev]"
+python -m pytest -q
+```
+
+## 快速复现：本机可运行 test case
+
+无需 Docker、无需 root、无需网络：
+
+```bash
+chatbug php2shell lab local-list
+```
+
+成功时输出 JSON，关键字段包括：
+
+- `accepted: true`
+- `positive_status: 200`
+- `negative_status: 200`
+- `positive_output` 包含 `/tmp`、`chatbug-marker.txt` 和随机 marker
+- `negative_body` 只有 `Hello World`，证明普通安全入口不会把 session 文件当 PHP 执行
+
+这个命令也由测试覆盖：
+
+```bash
+python -m pytest -q tests/test_php2shell.py
+```
+
+## 完整隔离复现：PHP-FPM + Nginx
+
+需要一个可通过 SSH 使用 Docker 的自有主机。该命令会：
+
+1. 拉取固定 digest 的 PHP/PHP-FPM 镜像作为运行时；
+2. 生成只含 `Hello World` 和 lab-only `include` sink 的临时 webroot；
+3. 创建 internal Docker network，不发布主机端口；
+4. 在 lab 容器的 `/tmp/chatbug-marker.txt` 写入随机合成 marker；
+5. 从同一内部网络的一次性 client 容器发送 session upload-progress 请求；
+6. 正向请求通过 lab-only LFI sink 返回 `ls/cat` 输出；
+7. 负向请求访问普通 `hello.php`，只返回 `Hello World`；
+8. 删除容器、网络和远端临时目录。
+
+```bash
+chatbug php2shell lab docker-list \
+  --ssh-host <your-ssh-host> \
+  [--fpm-image <digest-pinned-php-fpm-image>] \
+  --proof list-and-marker
+```
+
+`--proof` 只允许三个固定模式：
+
+- `list-tmp`：执行 lab 内 `ls -la /tmp`；
+- `cat-marker`：读取 lab 内合成 marker 文件；
+- `list-and-marker`：同时列目录并读取 marker（默认）。
+
+真实验收输出会在 `positive_output` 中包含 lab 的 `/tmp` 列表、`sess_<id>` 文件、`MARKER` 和随机 marker；负向输出必须保持 `Hello World`。
+
+## 检查自有普通网站
+
+```bash
+chatbug php2shell web check https://example-owned-site.example/
+```
+
+输出字段解释：
+
+- `verdict=vulnerable_version_exposed`：版本头显示在受影响范围，只代表暴露，不代表 RCE；
+- `evidence_tier=tier_2_parser_reachable`：普通 multipart 解析入口可达；
+- `evidence_tier=tier_3_gadget_found`：固定探测中发现服务端返回了独立 marker；
+- `rce_or_file_read_proven=true`：只有在标记不能由请求反射解释、确实从服务端 session 文件包含返回时才成立。
+
+可跳过较重的探测：
+
+```bash
+chatbug php2shell web check https://example-owned-site.example/ --skip-gadget-scan
+```
+
+## 证据层级
+
+ChatBug 不把弱证据升级成强结论：
+
+1. 版本/配置暴露；
+2. 解析器或前置条件可达；
+3. 一次性隔离环境中完成 marker/命令输出验收；
+4. 经单独风险授权后的生产验证；
+5. 第三方真实入侵指标。
+
+对邮件、文档等含真实用户数据的生产服务，不应发送内存破坏、OOM、崩溃或重复利用流量；先用同镜像、无数据 lab 完成验收。
+
+## 文档
+
+- [CLI 树](docs/cli-tree.md)
+- [能力地图](docs/capability-map.md)
+- [Python 接口树](docs/interface-tree.md)
+- [PHP2Shell 复现实验](docs/php2shell-lab.md)
+
+## 开发说明
+
+扩展能力前先阅读 `DEVELOP.md` 和 `AGENTS.md`。新增生产检查必须保持非破坏性；任何需要固定命令以外的实验能力，应先增加独立、隔离、可清理的 lab，而不是扩展远程任意命令接口。

{chatbug-0.0.1 → chatbug-0.1.0}/pyproject.toml

@@ -5,16 +5,18 @@ build-backend = "setuptools.build_meta"
 [project]
 name = "ChatBug"
 dynamic = ["version"]
-description = "ChatArch reserved Python package for future bug investigation tools"
+description = "Authorized website vulnerability validation with safe PHP2Shell checks and isolated reproduction labs"
 readme = "README.md"
 requires-python = ">=3.10"
 license = "MIT"
-dependencies = ["click>=8.0", "chatstyle>=0.2.0,<0.3.0", "chatenv>=0.2.11,<0.3.0"]
+dependencies = ["click>=8.0", "chatstyle>=0.2.0,<0.3.0"]
 authors = [{name = "ChatArch", email = "rex@chatarch.org"}]
-keywords = ["chatbug", "chatarch", "cli"]
+keywords = ["chatbug", "chatarch", "security", "php2shell", "cli"]
 classifiers = [
     "Programming Language :: Python :: 3",
+    "Programming Language :: Python :: 3 :: Only",
     "Operating System :: OS Independent",
+    "Topic :: Security",
 ]
 
 [project.urls]

chatbug-0.1.0/src/ChatBug.egg-info/PKG-INFO

@@ -0,0 +1,162 @@
+Metadata-Version: 2.4
+Name: ChatBug
+Version: 0.1.0
+Summary: Authorized website vulnerability validation with safe PHP2Shell checks and isolated reproduction labs
+Author-email: ChatArch <rex@chatarch.org>
+License-Expression: MIT
+Project-URL: Homepage, https://github.com/ChatArch/ChatBug
+Project-URL: Repository, https://github.com/ChatArch/ChatBug
+Project-URL: Documentation, https://arch.gh.wzhecnu.cn/ChatBug/
+Keywords: chatbug,chatarch,security,php2shell,cli
+Classifier: Programming Language :: Python :: 3
+Classifier: Programming Language :: Python :: 3 :: Only
+Classifier: Operating System :: OS Independent
+Classifier: Topic :: Security
+Requires-Python: >=3.10
+Description-Content-Type: text/markdown
+License-File: LICENSE
+Requires-Dist: click>=8.0
+Requires-Dist: chatstyle<0.3.0,>=0.2.0
+Provides-Extra: dev
+Requires-Dist: build; extra == "dev"
+Requires-Dist: pytest; extra == "dev"
+Requires-Dist: twine; extra == "dev"
+Provides-Extra: docs
+Requires-Dist: mkdocs<2.0,>=1.6; extra == "docs"
+Requires-Dist: mkdocs-material<9.7,>=9.5; extra == "docs"
+Requires-Dist: mkdocs-static-i18n<2.0,>=1.2; extra == "docs"
+Requires-Dist: mike<3.0,>=2.0; extra == "docs"
+Dynamic: license-file
+
+# ChatBug
+
+ChatBug 是 ChatArch 系列的授权网站漏洞验证包。首个能力聚焦 **PHP2Shell**：先对自己拥有的普通网站做无破坏性版本/入口检查，再用一次性、无真实数据的隔离实验环境复现“运行时 + LFI include gadget → session upload-progress 注入 → `ls/cat` 输出”的完整测试链。
+
+它不是通用攻击框架：不发送 OOM/UAF 崩溃 payload，不对生产执行命令，不提供反弹 shell，也不接受任意远程命令参数。
+
+文档入口：<https://arch.gh.wzhecnu.cn/ChatBug/>
+
+## 适用场景
+
+- 判断自有 PHP 网站是否暴露在受影响版本范围。
+- 用普通 multipart 请求确认上传解析入口是否可达。
+- 用固定、小规模的常见 include 参数形态做**标记文件读取**探测。
+- 在本地进程实验或远端一次性 Docker 实验中，跑通可重复的 `ls -la /tmp` / `cat /tmp/chatbug-marker.txt` 验收。
+- 向团队输出可审计 JSON，区分“版本暴露”“解析器可达”“隔离链复现成功”和“生产利用未证明”。
+
+## 安全边界
+
+| 命令 | 作用对象 | 是否执行命令 | 是否接触生产数据 |
+| --- | --- | --- | --- |
+| `chatbug php2shell web check <URL>` | 自有普通网站 URL | 否 | 否；只发 HEAD、普通 multipart 和固定 gadget 探测 |
+| `chatbug php2shell lab local-list` | 本机临时 HTTP lab | 否；不启动系统 shell | 否；进程内合成数据 |
+| `chatbug php2shell lab docker-list` | 远端一次性内部 Docker lab | 仅 lab 固定 allowlist 命令 | 否；无生产卷、无发布端口、合成 marker |
+
+`docker-list` 复现的是传统、确定性的 PHP `include` 文件包含链：`PHP_SESSION_UPLOAD_PROGRESS` 写入 session 文件，lab-only 的 `include($_GET['page'])` 再包含该文件。它证明“受影响 PHP-FPM 运行时 + 应用存在 LFI gadget”时可以走到 `ls/cat`，**不单独证明 CVE-2026-109618/109619 的内存破坏 RCE**。
+
+## 安装
+
+```bash
+python -m pip install ChatBug
+chatbug --version
+chatbug --tree
+```
+
+开发环境：
+
+```bash
+python -m pip install -e ".[dev]"
+python -m pytest -q
+```
+
+## 快速复现：本机可运行 test case
+
+无需 Docker、无需 root、无需网络：
+
+```bash
+chatbug php2shell lab local-list
+```
+
+成功时输出 JSON，关键字段包括：
+
+- `accepted: true`
+- `positive_status: 200`
+- `negative_status: 200`
+- `positive_output` 包含 `/tmp`、`chatbug-marker.txt` 和随机 marker
+- `negative_body` 只有 `Hello World`，证明普通安全入口不会把 session 文件当 PHP 执行
+
+这个命令也由测试覆盖：
+
+```bash
+python -m pytest -q tests/test_php2shell.py
+```
+
+## 完整隔离复现：PHP-FPM + Nginx
+
+需要一个可通过 SSH 使用 Docker 的自有主机。该命令会：
+
+1. 拉取固定 digest 的 PHP/PHP-FPM 镜像作为运行时；
+2. 生成只含 `Hello World` 和 lab-only `include` sink 的临时 webroot；
+3. 创建 internal Docker network，不发布主机端口；
+4. 在 lab 容器的 `/tmp/chatbug-marker.txt` 写入随机合成 marker；
+5. 从同一内部网络的一次性 client 容器发送 session upload-progress 请求；
+6. 正向请求通过 lab-only LFI sink 返回 `ls/cat` 输出；
+7. 负向请求访问普通 `hello.php`，只返回 `Hello World`；
+8. 删除容器、网络和远端临时目录。
+
+```bash
+chatbug php2shell lab docker-list \
+  --ssh-host <your-ssh-host> \
+  [--fpm-image <digest-pinned-php-fpm-image>] \
+  --proof list-and-marker
+```
+
+`--proof` 只允许三个固定模式：
+
+- `list-tmp`：执行 lab 内 `ls -la /tmp`；
+- `cat-marker`：读取 lab 内合成 marker 文件；
+- `list-and-marker`：同时列目录并读取 marker（默认）。
+
+真实验收输出会在 `positive_output` 中包含 lab 的 `/tmp` 列表、`sess_<id>` 文件、`MARKER` 和随机 marker；负向输出必须保持 `Hello World`。
+
+## 检查自有普通网站
+
+```bash
+chatbug php2shell web check https://example-owned-site.example/
+```
+
+输出字段解释：
+
+- `verdict=vulnerable_version_exposed`：版本头显示在受影响范围，只代表暴露，不代表 RCE；
+- `evidence_tier=tier_2_parser_reachable`：普通 multipart 解析入口可达；
+- `evidence_tier=tier_3_gadget_found`：固定探测中发现服务端返回了独立 marker；
+- `rce_or_file_read_proven=true`：只有在标记不能由请求反射解释、确实从服务端 session 文件包含返回时才成立。
+
+可跳过较重的探测：
+
+```bash
+chatbug php2shell web check https://example-owned-site.example/ --skip-gadget-scan
+```
+
+## 证据层级
+
+ChatBug 不把弱证据升级成强结论：
+
+1. 版本/配置暴露；
+2. 解析器或前置条件可达；
+3. 一次性隔离环境中完成 marker/命令输出验收；
+4. 经单独风险授权后的生产验证；
+5. 第三方真实入侵指标。
+
+对邮件、文档等含真实用户数据的生产服务，不应发送内存破坏、OOM、崩溃或重复利用流量；先用同镜像、无数据 lab 完成验收。
+
+## 文档
+
+- [CLI 树](docs/cli-tree.md)
+- [能力地图](docs/capability-map.md)
+- [Python 接口树](docs/interface-tree.md)
+- [PHP2Shell 复现实验](docs/php2shell-lab.md)
+
+## 开发说明
+
+扩展能力前先阅读 `DEVELOP.md` 和 `AGENTS.md`。新增生产检查必须保持非破坏性；任何需要固定命令以外的实验能力，应先增加独立、隔离、可清理的 lab，而不是扩展远程任意命令接口。

{chatbug-0.0.1 → chatbug-0.1.0}/src/ChatBug.egg-info/SOURCES.txt

@@ -9,5 +9,9 @@ src/ChatBug.egg-info/requires.txt
 src/ChatBug.egg-info/top_level.txt
 src/chatbug/__init__.py
 src/chatbug/cli.py
+src/chatbug/lab.py
+src/chatbug/local_lab.py
+src/chatbug/php2shell.py
 tests/test_cli.py
+tests/test_php2shell.py
 tests/test_version.py

{chatbug-0.0.1 → chatbug-0.1.0}/src/ChatBug.egg-info/requires.txt

@@ -1,6 +1,5 @@
 click>=8.0
 chatstyle<0.3.0,>=0.2.0
-chatenv<0.3.0,>=0.2.11
 
 [dev]
 build

{chatbug-0.0.1 → chatbug-0.1.0}/src/chatbug/__init__.py

@@ -2,4 +2,4 @@
 
 __all__ = ["__version__"]
 
-__version__ = "0.0.1"
+__version__ = "0.1.0"

chatbug-0.1.0/src/chatbug/cli.py

@@ -0,0 +1,165 @@
+"""ChatBug command line interface."""
+
+from __future__ import annotations
+
+import json
+import secrets
+import sys
+from typing import Any
+
+import click
+from chatstyle import add_tree_option
+
+from chatbug import __version__
+from chatbug.lab import DEFAULT_PHP_FPM_IMAGE, LabSpec, logs, run_lfi_proof, seed_marker, start, stop
+from chatbug.php2shell import build_lab_session_payload, extract_command_output, http_request
+from chatbug.php2shell import random_marker, safe_url_check
+
+
+def emit(payload: dict[str, Any]) -> None:
+    click.echo(json.dumps(payload, ensure_ascii=False, indent=2, sort_keys=True))
+
+
+@click.group(name="chatbug", invoke_without_command=True, no_args_is_help=True)
+@click.version_option(__version__, prog_name="chatbug")
+@add_tree_option(renderer_options={"root_name": "chatbug"})
+def main() -> None:
+    """Owned website vulnerability validation."""
+
+
+@main.group(name="php2shell")
+def php2shell() -> None:
+    """PHP2Shell web checks and data-free lab proof."""
+
+
+@php2shell.group(name="web")
+def web() -> None:
+    """Checks for an ordinary owned website URL."""
+
+
+@web.command(name="check")
+@click.argument("url")
+@click.option("--skip-multipart", is_flag=True, help="Do not send the benign multipart request.")
+@click.option("--skip-gadget-scan", is_flag=True, help="Do not probe common include parameter shapes.")
+def web_check(url: str, skip_multipart: bool, skip_gadget_scan: bool) -> None:
+    """Check version exposure, parser reachability, and common include gadgets."""
+
+    result = safe_url_check(
+        url,
+        include_multipart=not skip_multipart,
+        include_gadgets=not skip_gadget_scan,
+    )
+    emit(result)
+    sys.exit(0 if result["verdict"] == "vulnerable_version_exposed" else 3)
+
+
+@php2shell.group(name="lab")
+def lab_group() -> None:
+    """Disposable, data-free lab workflows."""
+
+
+@lab_group.command(name="local-list")
+def lab_local_list() -> None:
+    """Run a complete positive/negative example in an in-process local lab."""
+
+    import chatbug.local_lab as local_lab
+    from chatbug.local_lab import serve_local_lab
+
+    sid = "localtest" + secrets.token_hex(8)
+    marker = random_marker()
+    headers, body = build_lab_session_payload(sid, "list-and-marker")
+    synthetic_output = f"___START___\n/tmp\nchatbug-marker.txt\n{marker}\n___END___"
+    with serve_local_lab() as local:
+        post_status, _, _ = http_request(f"{local.url}/hello.php", method="POST", headers=headers, data=body)
+        local_lab.SESSIONS[sid] = synthetic_output
+        positive_status, _, positive_body = http_request(
+            f"{local.url}/vuln.php?page=/tmp/sessions/sess_{sid}",
+            headers={"Cookie": f"PHPSESSID={sid}"},
+        )
+        negative_status, _, negative_body = http_request(
+            f"{local.url}/hello.php?page=/tmp/sessions/sess_{sid}",
+            headers={"Cookie": f"PHPSESSID={sid}"},
+        )
+    command_output = extract_command_output(positive_body) or ""
+    result = {
+        "schema": "chatbug.php2shell.local_lab/v1",
+        "accepted": marker in command_output and marker not in negative_body.decode(),
+        "post_status": post_status,
+        "positive_status": positive_status,
+        "negative_status": negative_status,
+        "positive_output": command_output,
+        "negative_body": negative_body.decode(),
+        "boundary": "in-process lab; no Docker, shell, production network, or private data",
+    }
+    emit(result)
+    sys.exit(0 if result["accepted"] else 1)
+
+
+@lab_group.command(name="docker-list")
+@click.option("--ssh-host", required=True, help="SSH alias for the owned Docker host.")
+@click.option(
+    "--fpm-image",
+    default=DEFAULT_PHP_FPM_IMAGE,
+    show_default=True,
+    help="Digest-pinned or exact vulnerable PHP-FPM image to validate in isolation.",
+)
+@click.option(
+    "--proof",
+    type=click.Choice(["list-tmp", "cat-marker", "list-and-marker"], case_sensitive=False),
+    default="list-and-marker",
+    show_default=True,
+)
+@click.option("--keep", is_flag=True, help="Leave the disposable lab running for manual inspection.")
+def lab_docker_list(ssh_host: str, fpm_image: str, proof: str, keep: bool) -> None:
+    """Prove list/cat inside a data-free PHP-FPM lab with an intentional include sink."""
+
+    spec = LabSpec(ssh_host=ssh_host, keep=keep, fpm_image=fpm_image)
+    marker = random_marker()
+    sid = "lab" + secrets.token_hex(10)
+    report: dict[str, Any] = {
+        "schema": "chatbug.php2shell.docker_lab/v1",
+        "project": spec.project,
+        "network": spec.network,
+        "proof": proof,
+        "fpm_image": fpm_image,
+        "boundary": "internal Docker network; synthetic data only; no published host port; production untouched",
+        "marker": marker,
+    }
+    remote_dir: str | None = None
+    try:
+        report["start"] = start(spec)
+        remote_dir = report["start"]["remote_dir"]
+        assert isinstance(remote_dir, str)
+        report["seed"] = seed_marker(spec, remote_dir, marker)
+        report["result"] = run_lfi_proof(spec, remote_dir, sid, proof)
+        positive_output = report["result"]["positive_output"]
+        negative_output = report["result"]["negative_output"]
+        marker_expected = proof in {"cat-marker", "list-and-marker"}
+        positive_evidence = (
+            marker in positive_output
+            if marker_expected
+            else "chatbug-marker.txt" in positive_output
+        )
+        report["accepted"] = (
+            report["result"]["positive_status"] == 200
+            and report["result"]["negative_status"] == 200
+            and positive_evidence
+            and marker not in negative_output
+        )
+        report["interpretation"] = "Runtime plus intentional lab-only include gadget proven."
+    except Exception as exc:
+        report["accepted"] = False
+        report["error"] = str(exc)
+        if remote_dir:
+            report["logs"] = logs(spec, remote_dir)
+        emit(report)
+        sys.exit(1)
+    finally:
+        if not keep and remote_dir:
+            report["cleanup"] = stop(spec, remote_dir)
+    emit(report)
+    sys.exit(0 if report.get("accepted") else 1)
+
+
+if __name__ == "__main__":
+    main()