Một thử thách công khai nhắm vào máy chủ PHP chưa vá lỗi, với phần thưởng bằng Bitcoin, đã kết thúc sau 19 giờ 17 phút khi có người tham gia xâm nhập thành công. Đáng chú ý, sau khi điều kiện khai thác được mở đầy đủ, hệ thống chỉ bị xuyên thủng sau khoảng 3 giờ, làm dấy lên lo ngại về khả năng khai thác lỗ hổng PHP2Shell trên môi trường thực tế.

Theo Gigazine ngày 26/10 (giờ địa phương), thử thách “Steal My Bitcoin” do nhà nghiên cứu bảo mật James Pavur tổ chức đã khép lại sau khi người tham gia có tên KillaBoi tấn công thành công. Mục tiêu của thử nghiệm là kiểm chứng liệu lỗ hổng nghiêm trọng mới được phát hiện trong PHP, mang tên PHP2Shell, có thể bị lợi dụng để xâm nhập máy chủ thực tế hay không.

Ban tổ chức công khai một máy chủ chạy PHP 8.4.26 chưa được vá lỗi và yêu cầu người tham gia đột nhập để tìm khóa riêng của ví Bitcoin.

Phần thưởng ban đầu vào khoảng 500 USD, sau đó tăng lên gần 2.000 USD nhờ các khoản đóng góp thêm. Tuy nhiên, phạm vi thử thách chỉ giới hạn trong ứng dụng web và môi trường thực thi PHP; các hành vi tấn công vào hạ tầng máy chủ hoặc gây gián đoạn dịch vụ đều bị cấm.

Sau hơn 17 giờ kể từ khi bắt đầu mà chưa ai thành công, nhiều ý kiến đã đặt vấn đề về cấu hình của máy chủ. Nhà nghiên cứu bảo mật LiveOverflow sau đó giải thích rằng trang dùng để thực thi mã PHP trên máy chủ chưa được mở công khai.

Sau khi ban tổ chức bổ sung trang này, chỉ khoảng 3 giờ sau, KillaBoi đã xâm nhập thành công. Tính từ thời điểm bắt đầu đến khi thử thách kết thúc, tổng thời gian là 19 giờ 17 phút.

KillaBoi cho biết đã khai thác một lỗi phát sinh khi PHP rơi vào trạng thái cạn bộ nhớ, từ đó trích xuất thông tin nội bộ của máy chủ và thực thi lệnh từ xa. Toàn bộ quá trình tấn công đã được công bố trên GitHub.

Tuy nhiên, do ban tổ chức lưu khóa riêng của ví Bitcoin không đúng trên máy chủ, người tham gia không thể tự chuyển phần thưởng. Sau khi xác nhận việc xâm nhập thành công, ban tổ chức đã trả 0,02511679 BTC cho người chiến thắng.

Thử nghiệm này cho thấy trong một số điều kiện nhất định, PHP2Shell có thể bị khai thác để xâm nhập máy chủ thực tế.