原來一直都沒放 PHP 實際 3 小時就被破了
【DLLM 🤬】昨日，有開發者公開挑釁全球黑白帽，稱「PHP2SHELL」漏洞根本沒那麼嚴重，更特意架設名為「Steal my Bitcoin」的資安挑戰網站，將存有約 0.025 枚比特幣（價值逾 2,017 美元）的加密錢包私鑰置於伺服器中，公開向全球黑客與資安研究人員叫陣，成功滲透並取得私鑰者即可全數奪走賞金。結果，很多高手研究過後都沒找到缺口，原來「DKLM 一開始根本沒放任何一個 PHP 檔案」，直至過了 15 小時後才補上了兩個 PHP 檔案，因此實際入侵其實僅花了 3 小時而已。
大家知道嗎？HKEPC 看到這個「Steal my Bitcoin」網站，為了寫篇新報道所以親自去查看了一下網站設定。雖然 HTTP 回應標頭（Response Headers）中顯示了 Server: nginx 以及 X-Powered-By: PHP/8.4.26，但背後卻只有一個 index.html 檔案，根本不存在可供參賽者觸發漏洞並利用的動態後端邏輯。怎料今早起床，就發現網站已經被攻破了。
起初還想說果然天外有天，沒有一個 PHP 檔案也能攻得入，實在太可怕了吧。要知道，PHP 伺服器在單純處理靜態檔案（如 HTML）時，並不會進入執行週期的 php_request_startup()，相關的記憶體解析機制（Zend executor / session / multipart parser）根本未初始化，因此當時的環境完全無法觸發該 CVE。
而且，其他研究員也揭發該主機是用 Nginx 反向代理至 PHP 單執行緒的內建開發伺服器（CLI server），並帶有 Nginx 預設的 1MB 請求限制，引來大量批評，認為這不是真實的 PHP 應用環境，既沒執行實際的 PHP 程式碼，亦非採用常見的 PHP-FPM / mod_php 架構。
著名安全研究員 LiveOverflow 亦出來踢爆，其實「Steal my Bitcoin」網站起初純粹只在傳送 index.html，從未觸發 PHP 易受攻擊的程式碼路徑。「KillaBoi」入侵後查看日誌，發現該網站是後來才追加 PHP 檔案進去。
隨後，「Steal my Bitcoin」的開發者也在 Hacker News 自行確認：在當天約 13:00 UTC 之前，伺服器純粹是用 PHP 的內建伺服器（CLI dev server）單純傳送靜態 HTML，之後為了平息質疑才補上了 /php-version.php 與 /ping.php。
更好笑的是，「Steal my Bitcoin」連放在伺服器內的錢包密鑰也是錯的，根本推算不出網站展示的獎金地址。事後開發者公開表示是自己放錯了，但由於「KillaBoi」確實成功讀取了伺服器上的「錢包密鑰」，最終開發者仍親自把 Bitcoin 轉給對方。
因此，這場鬧劇根本就沒有維持 19.28 小時，實際只需 3 小時就被攻破了。
資料來源:
