ความท้าทายในการขโมย Bitcoin
เว็บไซต์หนึ่งได้ท้าทายแฮกเกอร์ให้ขโมย Bitcoin มูลค่า 2,000 ดอลลาร์ แต่จนถึงขณะนี้ยังไม่มีใครสามารถเก็บรางวัลได้ การตรวจสอบอิสระแนะนำว่าความท้าทายที่ถูกกล่าวถึงอาจมีช่องโหว่ที่ไม่สามารถถูกทำลายได้จริง ทำให้เกิดคำถามที่น่าอึดอัด: เกมนี้ถูกตั้งค่าไว้หรือไม่?
Steal My Bitcoin
ยินดีต้อนรับสู่ Steal My Bitcoin ซึ่งกฎเกณฑ์ปกติของความปลอดภัยไซเบอร์ถูกพลิกกลับแทบทั้งหมด แทนที่จะป้องกันแฮกเกอร์ เว็บไซต์นี้เชิญชวนพวกเขาเข้ามา เสนอรางวัล Bitcoin และท้าทายให้พวกเขาเอาไป
ภารกิจของแฮกเกอร์
ภารกิจฟังดูง่ายอย่างน่าขัน: ใช้ประโยชน์จากการติดตั้ง PHP ที่ตั้งใจให้มีช่องโหว่ ดึงคีย์ส่วนตัว Bitcoin ที่ซ่อนอยู่และทำให้กระเป๋าเงินว่างเปล่า แฮกเกอร์ที่ประสบความสำเร็จคนแรกจะได้รับเงินรางวัลเริ่มต้นที่ประมาณ 500 ดอลลาร์ ก่อนที่การบริจาคจะผลักดันให้มันไปถึง 2,000 ดอลลาร์ หรือประมาณ 0.025 BTC จนถึงปลายวันที่ 25 ตุลาคม 2026
ข้อกำหนดในการเข้าร่วม
อย่างไรก็ตามมีข้อกำหนด ผู้เข้าร่วมต้องจำกัดการโจมตีของพวกเขาไว้ที่แอปพลิเคชันเว็บและ PHP container การโจมตีโฮสต์พื้นฐาน การทำลายโครงสร้างพื้นฐาน หรือการทำให้เซิร์ฟเวอร์ล้นหลามเป็นสิ่งต้องห้าม กิจกรรมทั้งหมดจะถูกบันทึก
ช่องโหว่ที่สำคัญ
ความท้าทายโฆษณา PHP 8.4.26 ซึ่งเป็นเวอร์ชันที่มีช่องโหว่ต่อข้อบกพร่องด้านความปลอดภัยที่สำคัญสองประการที่รวมเรียกว่า PHP2Shell ทั้งสองมีคะแนนความรุนแรงที่ 9.2 และแพตช์ฉุกเฉินได้ถูกส่งมาเมื่อวันที่ 21 ตุลาคม
การวิเคราะห์และข้อสงสัย
บุคคลหนึ่งที่ตรวจสอบความท้าทายได้ตั้งคำถามต่อสาธารณะว่าการกำหนดค่าของมันเปิดเผยพื้นผิวการโจมตีที่สามารถใช้ประโยชน์ได้จริงหรือไม่
บุคคลนั้นได้ระบุ nginx และ PHP 8.4.26 ผ่าน HTTP response headers ยืนยันอิสระว่ามีลายนิ้วมือ PHP 8.2 หรือใหม่กว่าและเปรียบเทียบพฤติกรรมของเซิร์ฟเวอร์กับสภาพแวดล้อมการทดสอบในท้องถิ่น
การตีความและผลกระทบ
การวิเคราะห์ชี้ไปที่สิ่งที่ไม่คาดคิด: การจับคู่พฤติกรรมที่ใกล้เคียงที่สุดดูเหมือนจะเป็น nginx ที่ส่งต่อคำขอไปยังเซิร์ฟเวอร์เว็บที่สร้างขึ้นใน PHP การวิเคราะห์ได้ยกประเด็นที่น่าสนใจมากขึ้นเกี่ยวกับจุดเข้าของเว็บไซต์
การตอบสนองของมันดูเหมือนจะสอดคล้องกับเซิร์ฟเวอร์ที่สร้างขึ้นใน PHP ที่ส่งมอบไฟล์ index.html แบบสแตติกแทนที่จะดำเนินการสคริปต์ index.php
หากการตีความนั้นถูกต้อง ช่องโหว่ที่โฆษณาอาจไม่สามารถเข้าถึงได้ผ่านพื้นผิวการโจมตีที่อนุญาตของความท้าทาย นั่นจะเปลี่ยนการแข่งขันอย่างพื้นฐาน
ข้อสรุป
สำหรับตอนนี้ Steal My Bitcoin นำเสนอภาพที่น่าสนใจมากขึ้น: รางวัล Bitcoin ที่โฆษณาอย่างเปิดเผย กลุ่มแฮกเกอร์ที่มีศักยภาพ และความสงสัยที่เพิ่มขึ้นว่าห้องนิรภัยดิจิทัลอาจไม่มีประตูที่เข้าถึงได้ตั้งแต่แรก
