一名开发者故意架一台没安装近期安全更新的 PHP 伺服器，把一个放了比特币的钱包私钥摆在上面，公开悬赏看有没有人能真的靠漏洞把钱搬走，大约 19. 28 小时后就被攻破，领走 0. 02511679 枚比特币，依官网标示约 2,021 美元。 （前情提要：PHP、Node. js 连爆严重漏洞：最近上网要注意这 5 件事自保） （背景补充：PHP 基金会认错：高危漏洞 2024 年就有征兆，为何修补卡关两年？ ） 重点摘要 开发者故意架没修补的 PHP 8. 4. 26 主机，放比特币私钥公开悬赏攻破 挑战开跑约 19. 28 小时后被攻破，KillaBoi 领走约 2,021 美元赏金 PHP 已于 10 月 21 日释出 8. 4. 27 等紧急修补版，挑战主机的 8. 4. 26 在修补前 一名 Hacker News 帐号为 cloudlandsdev 的开发者，在台湾时间 10 月 25 日清晨发起一项名为「Steal My Bitcoin」的挑战，据 官方挑战网站 Steal My Bitcoin，他故意架一台没安装近期安全更新的 PHP 伺服器，把一个装有比特币的钱包私钥放在里面，公开让任何人尝试，只要能动用私钥、把钱包里的比特币转走，就能拿走全部赏金。 开发者在原帖里说，发起动机是想知道外界有没有人真的有办法利用近期这个 PHP 远端程式码执行漏洞，而不只是停留在理论上的担心。 日媒 GIGAZINE 报导，赏金一开始约 500 美元，约新台币 1. 6 万元（以 10 月 27 日汇率 1 美元约 32. 6 元计），后来靠外界捐款加码到约 2,021 美元，约新台币 6. 6 万元。 主办者也设了界线，攻击只能针对网页应用与 PHP 执行环境，禁止攻击底层主机或瘫痪服务。 补上执行页后约 3 小时被攻破 根据官方网站纪录，比特币在开跑约 19. 28 小时后被搬走，也就是不到一天，时间落在台湾时间 10 月 25 日晚上 11 点 47 分。 挑战开始后 17 个多小时都没有人成功，一度有资安研究者质疑，是不是伺服器设定让漏洞的触发路径根本到不了。 资安研究者 LiveOverflow 指出，最初的伺服器并没有对外开放一个会执行 PHP 程式的页面，主办者后来在台湾时间 10 月 25 日晚上 9 点左右补上这个页面，约 3 小时后就被攻破。
来源：动区动趋
本文由 GTokenTool 摘编，版权归原作者所有；内容仅供参考，不构成投资建议。