«Bitcoinimi Oğurlama»: bir pentester PHP2Shell-dən istifadə edərək 2,000 dollar BTC qazandı

<< Təhlükəsizlik bir prosesdir, məhsul deyil. >> (Bruce Schneier, Secrets and Lies, 2000)

Qapısı açıq bir seyf, bilərəkdən. 24 oktyabr şənbə günü, təhlükəsizlik araşdırmaçısı James Pavur, içində bitcoin cüzdanı olan, PHP2Shell zəifliklərinə qarşı bilərəkdən həssas bir serveri onlayn yerləşdirdi və üç sözlə bir mesaj qoydu: bitcoinimi oğurlayın. On doqquz saat sonra, Birləşmiş Krallıqda yaşayan 26 yaşlı bir pentester açarları götürdü.

İcma mükafatı 500 dollardan 2,000 dollara bir həftə sonu ərzində artırdı və qalib, lupus xəstələri üçün bir təşkilata bir hissəsini bağışladı. Schneier-in sevdiyi proses burada üç saatlıq real iş aldı.

Əsas məqamlar

• 24 oktyabrda başlanan bir sayt, düzəldilməmiş bir PHP serverini və BTC mükafatını ortaya qoydu
• Jaydip Modhwadia, ləqəbi Killa, 25 oktyabrda UTC 15:47-də maşını ələ keçirdi
• Onun yükü bir Python skriptində və iyirmidən az veb sorğusunda yerləşir
• İcmanın bağışları sayəsində mükafat 500 dollardan 2,000 dollara yüksəldi
• CISA, iki zəifliyi 26 oktyabrda aktiv zəifliklər kataloquna daxil etdi

Bitcoinimi Oğurlama və ya mükafatın bir cüzdan halına gətirilməsi

Klassik bir bug bounty prinsipi bir platforma, bir forma və mükafatı ödəmədən əvvəl ciddiliyini qiymətləndirən bir komitə ilə keçir. Pavur bunların hamısını aradan qaldırdı. Bir server, tanınmış bir zəiflik, bir bitcoin ünvanı: maşında kod icra edən ilk şəxs özü üçün istifadə edir. Ödəniş sübutdur və blockchain protokol rolunu oynayır.

Mexanika cəlb etdi. The Register-ə görə, icmanın ilkin 500 dolları dörd dəfə artıraraq 2,000 dollara, yəni 28 oktyabr çərşənbə günü təxminən 0.025 bitcoin-a çatdı.

Qalibin adı Jaydip Modhwadia-dır, Birləşmiş Krallıqda yaşayan bir inkişaf etdirici və pentester, Killa ləqəbi ilə tanınır. Saytın sayacı << Bitcoinim 19.28 saatdan sonra oğurlandı >> yazır, amma o, bunu nisbətən azaldır: << təxminən üç saat işləmişəm >>. Pavur, 25 oktyabr UTC 13:00-da istismar üçün lazım olan bir PHP giriş nöqtəsi əlavə etmişdi və uzaqdan kod icrası UTC 15:47-də baş verdi.

Onun yükü tək bir Python faylında və << maksimum iyirmi HTTP sorğusunda >> yerləşir. Skript, əsasən, hücumçuların işini çətinləşdirmək üçün bir proqramın yaddaş ünvanlarını təsadüfi şəkildə qarışdıran ASLR-ni aşır. Kod GitHub-da açıqdır.

Modhwadia, qazancının bir hissəsini lupusla mübarizə aparan Lupus Foundation-a bağışlayacağını açıqladı, çünki özü də bu autoimmun xəstəlikdən əziyyət çəkir. 2021-ci ildə Poly Network-un hakeri 610 milyon dolları geri qaytardıqdan sonra 500,000 dollarlıq mükafatını yenidən oyun halına gətirmişdi, kim daha yaxşı edərsə.

PHP2Shell hələ də 32 milyon serveri təhdid edir

İki zəiflik, CVE-2026-109618 və CVE-2026-109619, PHP-nin 5.4 versiyasından etibarən bütün versiyalarını təsir edir, yəni dünya vebinin böyük bir hissəsinin motorudur. Brian Krebs-ə görə, Censys 21 oktyabrda təcili düzəlişlər zamanı 2.58 milyon açıq host və 54.9 milyon PHP altında veb mülkü qeydə almışdı.

Düzəlişlər mövcuddur: PHP 8.5.12, 8.4.27, 8.3.36 və 8.2.35. Amma The Hacker News tərəfindən sitat gətirilən Censys hələ də 32.51 milyon PHP xidmətini zəif versiyada sayırdı. CISA, iki CVE-ni 26 oktyabrda aktiv zəifliklər kataloquna əlavə etdi, 10 üzərindən 9.2 ciddilik dərəcəsi ilə və ABŞ federal agentliklərinə 29 oktyabra qədər düzəltmək üçün vaxt verdi. Təbii mühitdə ilk kod icrası 24 oktyabrda, Steal My Bitcoin-un başladığı gün, bal mumu qablarında tutulmuşdu.

Sizin mübadilə PHP-də işləmədiyi ehtimal olunur və bir çox platforma, Changpeng Zhao tərəfindən verilən xəbərdarlıqdan sonra bunu bildirmək üçün tələsdi. Amma sizə bir cüzdan tövsiyə edən blog və məsləhət oxuduğunuz forum çox vaxt WordPress altında, yəni PHP altında işləyir. Kompromis edilmiş bir server, bir saxta giriş səhifəsi təqdim edə bilər və ya bir depozit ünvanını dəyişdirə bilər, ekranda heç bir şey dəyişmədən.

Əgər siz bir saytın administratorusunuzsa, yeniləmə Modhwadia-nın daxil olmasından daha az vaxt alır. Əgər sadəcə ziyarət edirsinizsə, bir həftədir << təmir >> altında qalan saytlara diqqət yetirin və hər depozit ünvanını ikinci bir mənbədən yoxlayın. Fransada ANSSI, düzəltmək üçün vaxtında prefekturaları, vergiləri və Bercy-ni bağlatdı və 26 oktyabrda Windows üçün Broccoli2Shell adlanan əlaqəli bir zəifliyin düzəlişini aldı.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.