"killa" پنتستر بریتانیایی در مسابقه ضبط پرچم PHP2Shell مدعی جایزه 2 هزار دلاری بیت کوین شد.

یک توسعه‌دهنده و پنتستر مستقر در بریتانیا برای نشان دادن قابلیت بهره‌برداری از آسیب‌پذیری‌های PHP2Shell که هفته گذشته اینترنت را ذوب کرد، جایزه 2000 دلاری بیت‌کوین را دریافت کرد.

Jaydip Modhwadia، 26 ساله، که با نام دیگر "Killa" شناخته می شود، جایزه تعیین شده توسط James Pavur را که سایت "Steal My Bitcoin" را در 24 اکتبر راه اندازی کرد، دریافت کرد.

پاور چالش CTF (تسخیر پرچم) را راه‌اندازی کرد تا ثابت کند که بهره‌برداری PHP2Shell آنطور که افراد جامعه امنیت سایبری ادعا می‌کردند آسان نیست، و قول داد به هر کسی که بتواند به اجرای کد از راه دور (RCE) در وب‌سایت خود دست یابد، 2000 دلار بیت‌کوین اعطا خواهد کرد.

این وب‌سایت اکنون پس از ادعای مدحوادیا این جایزه می‌گوید: «بیت‌کوین من پس از 19.28 ساعت دزدیده شد، اگرچه تصور می‌شود زمان واقعی کمتر از سه ساعت باشد.

بلافاصله پس از اینکه Pavur CTF را در روز شنبه راه‌اندازی کرد، پرچم‌گیران احتمالی شکایت کردند که وب‌سایتی که او راه‌اندازی کرد، که فقط HTML ایستا را ارائه می‌کرد، به گونه‌ای ساخته نشده بود که به PHP2Shell اجازه دهد RCE را به دست آورد.

صفحه وب نسخه آسیب‌پذیر PHP را اجرا می‌کرد، اما مسیر بهره‌برداری به یک وب‌سایت آسیب‌پذیر نیاز داشت تا یک فایل PHP را برای پرچم‌گیران به‌عنوان قلاب ارائه کند – چیزی که ظاهرا Pavur در حدود 1300 UTC در 25 اکتبر به‌روزرسانی کرد.

Modhwadia RCE را در وب سایت به دست آورد، و یک نقطه پایانی PHP را در 1547 UTC نشان داد.

پس از خطای Pavur در قرار دادن کلید کیف پول اشتباه روی سرور، خالق CTF جایزه خود را به Modhwadia ارسال کرد که جامعه از 500 دلار اولیه Pavur به 2000 دلار رسید.

pentester نوشته‌ای از روش خود را منتشر کرد، یک اسکریپت تک فایل پایتون که او می‌گوید برای اجرای کامل به ۲۰ درخواست HTTP «حداکثر» نیاز دارد.

مدوادیا در صحبت با The Register همچنین تأیید کرد که پرچم را "در کل حدود سه ساعت یا بیشتر" دریافت کرده است. او گفت که اخبار مربوط به مسابقه را دنبال کرده است، "اما آن را تا زمانی که توجه قابل توجهی به دست نیاورده تلاش نکرد."

اگر قبل از اینکه پاوور نقطه پایانی را معرفی کند، این کار را انجام داده بود، ممکن بود با مشکل مواجه شده باشد. ساعت‌ها، شکارچیان باگ در تلاش بودند تا به وب‌سایت دسترسی پیدا کنند تا این چالش را انجام دهند، زیرا اخبار CTF در محافل فناوری منتشر شده بود.

مدوادیا افزود: «این واقعیت که 19 ساعت طول کشید به این دلیل بود که پس از محبوبیت، کل سایت اساسا برای هیچ‌کس غیرقابل استفاده شد.

علیرغم تصمیم پاوور برای معرفی محدودیت درخواست 1 مگابایتی در Nginx، این چالش شاهد تعداد زیادی تلاش بود.

آلون گال، یکی از بنیانگذاران و CTO در هادسون راک، کار مدوادیا را ستود، اما افزود که موفقیت او که تنها در چند ساعت به دست آمد، نباید به این معنا باشد که همان حمله می تواند در مقیاس خودکار انجام شود.

او گفت: "آیا این بدان معناست که عوامل هوش مصنوعی مستقل اکنون می توانند سرورهای PHP دلخواه را در مقیاس به خطر بیاندازند؟ خیر. این یک سوء استفاده پیچیده و خاص هدف بود.

اما نشان می‌دهد که PHP2Shell می‌تواند علیه یک هدف زنده، حتی با محدودیت‌های فنی معنادار، تسلیحاتی شود.

اثبات مفهوم Modhwadia اولین موردی نیست که اثبات می کند PHP2Shell قابل بهره برداری است، اما در دسته پیشرفته تر قرار می گیرد.

نشانه‌های اولیه حاکی از آن بود که تصادفی‌سازی طرح‌بندی فضای آدرس (ASLR) در یک سرور آسیب‌پذیر مانع مهمی برای بهره‌برداری در دنیای واقعی خواهد بود و راه‌حل pentester آن را همراه با موارد دیگری که اخیرا فاش شده‌اند دور می‌زند.

اسپنسر مک اینتایر، مدیر توسعه اکسپلویت در VulnCheck، هفته گذشته به The Register گفت که مهاجمان در حال یافتن راه‌های جدیدی برای سوء استفاده از PHP2Shell هستند و "به وضوح زمان (و توکن‌ها) را برای این باگ صرف می‌کنند.

در ابتدا، کارشناسان گفتند کدهای اکسپلویت ساعت‌ها یا حتی چند روز قبل از افشای عمومی آسیب‌پذیری‌ها به صورت آنلاین پیدا می‌شد، که منجر به میلیون‌ها تلاش برای سوءاستفاده شد، اگرچه هنوز برای تعیین کارآمدی این آسیب‌پذیری‌ها بر روی سیستم‌های دنیای واقعی خیلی زود بود.

در هفته گذشته، در حالی که سازمان‌ها برای محافظت از خود در برابر حملات، که ممکن است موفقیت آمیز بوده یا نبوده، تلاش کنند، تعداد زیادی از وب سایت‌ها برای نگهداری حذف شدند.

مدوادیا گفت که او بخشی از جایزه ای را که دریافت کرده بود به بنیاد لوپوس اهدا کرد تا آگاهی را در مورد این بیماری که او نیز از آن رنج می برد، افزایش دهد. ®