【公開叫陣 😂】全球專家都指「PHP2SHELL」漏洞極為嚴重，甚至連政府及金融機構寧願斷線關站都要避其鋒芒。不過有開發者就不信邪，認為由 AI 找出來的漏… · @hkepcmedia · TwKit

@hkepcmedia

【公開叫陣 😂】全球專家都指「PHP2SHELL」漏洞極為嚴重，甚至連政府及金融機構寧願斷線關站都要避其鋒芒。不過有開發者就不信邪，認為由 AI 找出來的漏洞僅具理論性，在現實世界中極難實現，因此特意架設名為「Steal my Bitcoin」的資安挑戰網站，將存有約 0.025 枚比特幣（價值逾 2,017 美元）的加密錢包私鑰置於伺服器中，公開向全球黑客與資安研究人員叫陣，成功滲透並取得私鑰者即可全數奪走賞金。 根據該網站公告的規則與技術細節，挑戰伺服器特意採用了尚未修補 PHP2SHELL 相關 CVE 漏洞的舊版 PHP 環境。系統將比特幣私鑰隱藏在系統內部，只要攻擊者能透過該 PHP 帳戶權限成功執行伺服器上的 print-flag 二進制執行檔，便能直接讀取金鑰。 截至截稿為止，網站計時器顯示已上線逾 19 小時，伺服器依然維持「零攻破」（without a successful hack）狀態。挑戰錢包地址（bc1qlnu5...t3cxqy）內的資產亦持續公開透明地供外界查驗，隨著幣價波動與外界額外贊助，錢包餘額已來到約 0.02506816 BTC（約合 2,017.64 美元）。發起者同時表示，若成功攻破的獲勝者不需要這筆款項，建議可將資金捐贈予慈善機構 GiveWell。 https://stealmybitcoin.com/ 這項挑戰隨即在 Hacker News 與 Reddit 等技術社群引發熱議。部分研究人員認為，這項實驗反映出資安界在漏洞披露初期往往容易陷入過度恐慌，實際上若未掌握精確的環境配置與利用鏈，要完成遠端滲透並非易事。 不過，已有技術人員指出該開發者不懷好意，該伺服器前台的反向代理與後端環境已對請求封包大小與特定指令做出最佳化限制，封鎖了「PHP2SHELL」常規的攻擊途徑，而且故意避開這三個 CVE 的特性，根本是存心刁難。 HKEPC 小編檢查後發現，目標伺服器在 HTTP 回應標頭（Response Headers）中顯示了 Server: nginx 以及 X-Powered-By: PHP/8.4.26，極大機會是「Nginx 搭配 PHP 內建命令列伺服器（PHP CLI-server）」的特殊架構。 分析顯示，該環境的行為完全符合 PHP CLI-server 直接處理靜態 index.html 檔案的特性，而非解析並執行 index.php 原始碼，這意味著題目環境中可能根本不存在可供參賽者觸發漏洞並利用的動態後端邏輯，完全就是「玩鳩你地班仆街」，並非真正的學術討論。 目前相關討論已在資安社群全面展開，主辦方後續會否對環境配置與題目有效性作出進一步回應，仍有待觀察。

曝光 1407 · 评论 0 · 点赞 15 · 书签 3