Исследователь получил $2000 за взлом PHP в конкурсе Steal My Bitcoin

Исследователь под псевдонимом KillaBoi выиграл конкурс Steal My Bitcoin, участникам которого предложили взломать сервер с уязвимой версией PHP и получить приватный ключ. Призовой фонд составил около 0,025 BTC (~$2021).

Источник: stealmybitcoin.com.

Эксперимент запустил 24 октября пользователь Hacker News под ником cloudlandsdev. Он хотел проверить, насколько сложно на практике воспользоваться недавно раскрытыми уязвимостями PHP2Shell.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

«Цель — оставить [деньги] на углу улицы с табличкой „Забери меня!“ и посмотреть, сколько они там пролежат», — объяснил организатор.

Первоначально на кону стояли примерно $500 в биткоине. Затем другие пользователи пополнили призовой адрес, увеличив сумму примерно в четыре раза.

На сервере была установлена PHP версии 8.4.26, выпущенная до исправления критических ошибок. Для получения ключа участнику требовалось добиться запуска специальной программы print-flag.

Сайт зафиксировал успешное решение 25 октября в 15:47 UTC, через 19 часов 17 минут после старта. KillaBoi опубликовал описание и демонстрационный код на GitHub. По его словам, ему удалось выполнить команду внутри процесса PHP и получить сохраненный на сервере ключ.

Ключ оказался от другого адреса

После проверки выяснилось, что извлеченный ключ не давал доступа к призовым средствам. Организатор признал ошибку: он разместил на сервере ключ от другой ветви кошелька.

Тем не менее организатор засчитал победу и самостоятельно перевел средства. По его словам, серверные журналы подтвердили успешный запуск print-flag, а участник знал точное значение сохраненного ключа.

Кроме того, первоначально сервер отдавал статический HTML. Пользователь под ником LiveOverflow указал, что такая конфигурация не задействовала необходимый для эксплуатации уязвимый путь PHP.

Организатор подтвердил, что добавил PHP-страницу только 25 октября в 13:00 UTC. Успешное решение появилось менее чем через три часа после этого изменения, поэтому на взлом потребовалось фактически меньше 19 часов.

Эксперимент связан с уязвимостями CVE-2026-109618 и CVE-2026-109619, способными привести к удаленному выполнению кода без аутентификации. 21 октября разработчики PHP выпустили исправления для поддерживаемых веток 8.2–8.5.

Напомним, аналитики SlowMist предупредили, что критические уязвимости PHP могут угрожать Web3-проектам через сайты, серверы и сервисы подписания транзакций.

Источник