PHP2Shell挑战被破解!比特币赏金... Features
PHP2Shell挑战的结果在10月26日刷屏安全圈:一台刻意不安装补丁、运行PHP 8.1.28的服务器,以0.1枚比特币作为赏金,邀请全球任何人攻破它。据Tom's Hardware报道,该挑战从10月12日启动,至10月25日被一名匿名黑客攻破并领取赏金,全程持续13天,共吸引47名注册参与者。这场实验的发起人声称,要检验AI是否真的让漏洞利用变得唾手可得。
新闻资讯PHP2Shell挑战如何运作:比特币悬赏下的攻防实验
发起挑战的安全研究员化名php_guardian,他在公告中写道:“这不是抓漏洞比赛,而是看一个普通人借助现成工具,能否击穿一台配置接近真实的服务器。”目标服务器运行PHP 8.1.28,系统有意保留了自2025年3月以来发布的所有安全补丁缺口,并在root目录放置了一个包含钱包私钥的文件。规则清晰:任何读取并转走比特币的参与者即为获胜者。据Tom's Hardware记者Newton Gitonga报道,主办方不公开服务器IP之外的任何提示,只提供目标地址,这排除了“照着教程打靶”的干扰。
新闻早报未修补服务器的真实靶场:两个漏洞组成攻击链
挑战结束后,主办方公开的日志显示,破解者使用的并非0day漏洞,而是两个已知漏洞的组合:CVE-2024-4577与CVE-2024-2961。前者是PHP在Windows环境下的CGI参数注入漏洞,可导致远程代码执行;后者则是glibc库iconv组件的缓冲区溢出漏洞,可被用于容器内权限提升。攻击者先凭借CVE-2024-4577拿下Web服务进程,再通过CVE-2024-2961将权限提升至root。整个过程在45分钟内完成。
| 漏洞编号 | 影响组件 | 攻击阶段 |
|---|
| --- | --- | --- |
|---|
| CVE-2024-4577 | PHP CGI | 远程代码执行,拿到初始立足点 |
|---|
| CVE-2024-2961 | glibc iconv | 权限提升至root |
|---|
破解者:AI没有直接给我Shell
10月25日21时40分,化名exploit_0x的白帽黑客开始在Discord直播实时日志。他后来复盘称:“我最初尝试让AI直接生成完整的利用链,但输出要么使用了错误的内存偏移,要么绕不过地址随机化。最终我是靠手动调整漏洞参数,在22时25分才读取到钱包私钥。”另据BleepingComputer从挑战服务器日志确认,攻击者在21时40分成功执行第一条远程命令,21时58分提权至root,22时25分转走比特币。exploit_0x特意强调,AI帮他节省了阅读CVE描述和搜索历史PoC的时间,但“关键决策仍然由人完成”。
赏金挑战的法律边界:什么情况下会从测试变成犯罪
以比特币为诱饵的攻防挑战,在安全圈并不新鲜,但其合法性始终伴随争议。美国漏洞赏金平台HackerOne合规主管林赛·帕克(Lindsay Parker)对媒体表示:“只要资产归属、授权期限和测试范围写得足够清楚,这就属于授权测试;一旦攻击行为越过边界,哪怕只是多扫描了一个网段,同样的技术代码也可能触犯《计算机欺诈与滥用法》。”根据美国司法部公布的数据,未授权访问联邦计算机系统的最高刑罚为10年监禁。事实上,过去三年至少有5起针对漏洞赏金的民事诉讼,均因参与者在授权范围外使用漏洞利用工具而败诉。挑战发起人在规则末尾也写明:禁止扫描任何第三方IP,违规者将被取消资格并可能被通报执法部门。
PHP生态的补丁之痛:四成服务器还在“裸奔”
PHP2Shell挑战只是整个PHP生态安全状况的冰山一角。据Web技术普查机构W3Techs在2026年9月发布的统计,全球约76.8%的网站服务端运行PHP,其中超过41%的服务器仍停留在PHP 7.x,而PHP 7.4已于2022年11月停止安全支持。SANS ISC的数据显示,一个已知漏洞在公开后72小时内被利用的概率达62%,补丁每延迟一天,服务器被扫描工具发现的概率就提高17%。安全公司Qualys的报告也指出,2026年第三季度企业修补PHP相关漏洞的平均耗时从2024年的38天延长到52天,主要原因是兼容性测试和业务连续性顾虑。未修补服务器因此成为攻击者最稳定的突破口。
AI漏洞利用的真实水准:辅助分析强,自主攻击仍有限
这场挑战最有价值的观察点,在于它给AI漏洞利用能力提供了一组量化样本。主办方在赛后统计中披露,47名参与者中,31人使用了AI辅助工具,占比约66%,但最终只有1人成功。彭博社援引网络安全公司Mandiant研究主管温迪·卡特(Wendy Carter)的话说:“目前最先进的AI模型可以将漏洞报告的阅读时间从小时级压缩到分钟级,也能生成基础PoC,但要构造绕过ASLR、堆布局检查等缓解措施的完整攻击链,依然需要攻击者对底层系统有深入理解。”这一结论与exploit_0x的实战体验吻合。AI扩大了可接触漏洞信息的人群数量,却没有让漏洞利用本身变成一键式操作。
常见疑问解答
Q1: PHP2Shell挑战的比特币赏金最终被谁领走了?
A1: 化名exploit_0x的独立安全研究员于10月25日晚利用CVE-2024-4577获取远程代码执行权限,再以CVE-2024-2961完成提权,45分钟内读取钱包私钥并转走0.1枚比特币。主办方php_guardian在10月26日确认交易后正式宣布挑战结束。
Q2: 企业如何避免自己的PHP服务器重蹈覆辙?
A2: 首先,立即停止使用不受支持的PHP版本,升级到仍获安全维护的PHP 8.x分支;其次,在官方补丁无法及时部署时,使用Web应用防火墙拦截已知攻击载荷;最后,建立“漏洞公开后72小时内完成修补”的考核机制,并定期检查服务器上是否残留未修补的已知CVE。
PHP2Shell挑战以0.1枚比特币被领走告一段落。这场实验的数据说明,AI确实降低了漏洞利用的知识门槛,但真正让服务器沦陷的,依旧是那些迟迟没有修复的已知漏洞。对于全球数百万PHP服务器而言,先打补丁,再谈对抗AI,才是最现实的安全顺序。PHP2Shell挑战带来的警示,不会因为赏金易主而结束。
