Nghiên cứu viên xâm nhập máy chủ StealMyBitcoin trong vài giờ, chứng minh lỗ hổng PHP2Shell do AI tìm ra có thể khai thác
marketbrief.nowNghiên cứu viên bảo mật killa đã xâm nhập máy chủ PHP chưa được vá phía sau thử thách stealmybitcoin.com lan truyền chỉ trong vài giờ sau khi cấu hình được sửa, bác bỏ những tuyên bố rằng lỗ hổng PHP2Shell do AI tìm ra là không thể khai thác. Nghiên cứu viên LiveOverflow cho biết việc xác nhận bị trì hoãn vài giờ vì người tạo ra máy chủ đã cấu hình sai địa chỉ ví Bitcoin, khiến khoản thưởng $2,000 công bố vẫn chưa được nhận dù máy chủ đã bị xâm nhập.
Một nhà phát triển ẩn danh đã ra mắt trang web với đồng hồ đếng thời gian và một khóa Bitcoin ban đầu $500 để kiểm tra xem những lỗ hổng thực thi mã từ xa nghiêm trọng — được đánh giá 9,2 về mức độ nghiêm trọng và ảnh hưởng đến khoảng 70% trang web — có bị quá tô mộng hay không. Sau khi khóa ví không được nhận trong hơn 17 giờ, những người hoài nghi dùng cú lừa này làm bằng chứng cho thấy những lỗ hổng không thể khai thác trong thực tế.
Tuy nhiên, trong 10 giờ đầu tiên, máy chủ đã định tuyến yêu cầu đến một tệp HTML tĩnh thông qua máy chủ phát triển đơn luồng của PHP phía sau nginx, một cấu hình không bao giờ khởi tạo PHP hay b phân tích multipart dễ bị tổn thương. Khi LiveOverflow chỉ ra lỗ hổng và người vận hành phơi bày một endpoint PHP thực sự, killa đã đạt được xâm nhập.
Nguồn chính
- SOURCE@hackerfantastic“Someone has created a vulnerable PHP website, loaded it with a Bitcoin wallet, and challenged the Internet to hack into it and they can keep the Bitcoin. It has a running timer to show if the PHP exploitability was over-hyped.”x.com
- SOURCE@liveoverflow“stealmybitcoin was just solved by @killa. Or rather solved a few hours ago. He was confused because the wallet address was wrong. Turns out the server didn't have the right wallet”x.com
- SUPPORT@intcyberdigest“A developer hid a Bitcoin key on a PHP server left unpatched against PHP2Shell, the critical flaws fixed on Oct 21, and dared anyone to steal it. 17 hours on, the wallet holds ~$2,000 and nobody has taken it.”x.com
- SUPPORT@notdeghost“crazy how even w/ such a bad challenge setup (initial deployment wasn't exploitable, tons of concurrent traffic, and surprise: the wallet was setup incorrectly), this was solved in a few hours”x.com
- SUPPORT@s1r1u5_“for the first ~10 hours, they seemed to be serving something like index.html through a wildly uncommon setup: nginx -> proxy_pass -> php -S -> index.html if you look at the PHP CLI server code, without a router, it doesn't even initialize php for static files, so you can't trigger the vulnerable multipart parser in the first place.”x.com
- SUPPORT@dantemmartin“Someone just hid a $500 bitcoin key on a server running PHP from before the PHP2Shell patches — the RCE an OpenAI model found last week — and dared the internet to take it.”x.com
- SOURCEhuggingnewshuggingnews.com