Биткоин-кошелёк за $500 часами висел на PHP-сервере, и никто его не забрал

Правила игры

Steal My Bitcoin — это вся подача проекта, которую в ветке процитировал комментатор уже после того, как сервер рухнул: ключ от биткоинов примерно на $502, «доступный пользователю PHP через бинарник print-flag». Версию PHP выбрали из тех, что вышли до релиза уязвимостей PHP2SHELL. Кто первым заберёт кошелёк, тот и выиграл, весь трафик логируется. Счётчик сайта за часы увеличился, но взломов не было.

Ставка автора — это ценовой сигнал. Если бы автоматизированная эксплуатация новых багов в PHP была такой дешёвой, как пишут заголовки, цель за $500 исчезла бы за минуты.

Почему её никто не забрал

«Скорее, за $500 вам предлагают научить пользоваться эксплойтом» — anonymous908213

Один комментатор с прототипом, собранным LLM, написал, что тот может уронить сайт, но не дать удалённое выполнение кода: для этого нужна рабочая цепочка эксплойтов и обход ASLR, а сервер работает на Nginx с PHP-FPM, а не на более простой конфигурации Apache mod_php. Другой прочитал конфигурацию пессимистичнее для атакующих: CLI-сервер, лимит в 1 МиБ, инертная страница и высокий лимит памяти убирают пути, которые нужны обеим уязвимостям, так что цель, возможно, вообще не уязвима.

Третий лагерь подозревал ловушку.

«Автор получает аккуратно записанный рабочий эксплойт (или даже несколько подходов), оставляет деньги себе и укрепляет иллюзию, что эксплойт не так уж опасен» — orlp

Приз становится сюжетом

К тому моменту, как ветка перевалила за 250 комментариев, другие читатели добавили денег: один заметил $1004, потом $2k. Комментатор, который помнил более раннюю панику, сказал, что арифметика перевернулась.

«80 часов назад все советовали всем немедленно снять сайты с сети. Теперь взламывать сайт, который сам просит взлома, имеет смысл, только если приз $15k» — ncruces

Для тех, кто держит PHP, полезен более узкий вывод, чем у каждого из лагерей: баги настоящие, но превратить diff патча в шелл на конкретном стеке всё ещё требует экспертизы, которую за $500 не купишь. А растущий банк показывает, где сейчас проходит эта цена.