Chuyên gia kiểm thử xâm nhập người Anh giành giải thưởng Bitcoin 2.000 USD trong cuộc thi PHP2Shell

Một nhà phát triển kiêm chuyên gia kiểm thử xâm nhập (pentester) người Anh đã giành giải thưởng 2.000 USD bằng Bitcoin sau khi chứng minh được khả năng khai thác thực tế của các lỗ hổng PHP2Shell từng làm rung chuyển cộng đồng mạng tuần trước.

Jaydip Modhwadia, 26 tuổi, còn được biết đến với biệt danh "Killa", đã giành được phần thưởng do James Pavur đặt ra. Pavur đã khởi động trang web "Steal My Bitcoin" (Hãy đánh cắp Bitcoin của tôi) vào ngày 24 tháng 10 như một thử thách capture-the-flag (CTF), với mục đích chứng minh rằng lỗ hổng PHP2Shell không dễ khai thác như những gì cộng đồng an ninh mạng tuyên bố. Ông hứa trao 2.000 USD bằng Bitcoin cho bất kỳ ai có thể thực thi mã từ xa (RCE) trên trang web của mình.

Thử thách và chiến thắng

Trang web hiện hiển thị thông báo: "Bitcoin của tôi đã bị đánh cắp sau 19,28 giờ", sau khi Modhwadia giành được giải thưởng, dù thời gian thực tế được cho là dưới 3 giờ.

Ngay sau khi Pavur khởi động CTF vào thứ Bảy, nhiều người tham gia đã phàn nàn rằng trang web của ông – vốn chỉ phục vụ HTML tĩnh – không được xây dựng theo cách cho phép khai thác PHP2Shell đạt được RCE. Trang web có chạy phiên bản PHP dễ bị tổn thương, nhưng con đường khai thác yêu cầu một trang web dễ bị tấn công phải phục vụ một tệp PHP để những người săn cờ sử dụng làm điểm neo – điều mà Pavur dường như đã cập nhật vào khoảng 13:00 UTC ngày 25 tháng 10.

Modhwadia đã đạt được RCE trên trang web, làm lộ ra một điểm cuối PHP, vào lúc 15:47 UTC. Sau một sai sót của Pavur khi đặt sai khóa ví trên máy chủ, người tạo ra CTF đã gửi phần thưởng cho Modhwadia, số tiền mà cộng đồng đã nâng lên 2.000 USD từ mức 500 USD ban đầu của Pavur.

Phương pháp tấn công

Chuyên gia kiểm thử xâm nhập đã công bố bản mô tả chi tiết về phương pháp của mình – một kịch bản Python đơn tệp mà anh cho biết cần "tối đa" 20 yêu cầu HTTP để thực thi hoàn chỉnh.

Trả lời phỏng vấn, Modhwadia xác nhận anh đã lấy được cờ trong "khoảng ba giờ hoặc hơn một chút". Anh cho biết đã theo dõi tin tức về cuộc thi "nhưng không thử sức cho đến khi nó nhận được sự chú ý đáng kể".

Nếu anh thử trước khi Pavur giới thiệu điểm cuối đó, có thể anh đã gặp khó khăn. Trong nhiều giờ, các thợ săn lỗ hổng đã cố gắng truy cập trang web để thử thách, khi tin tức về CTF lan rộng khắp các diễn đàn công nghệ.

Modhwadia chia sẻ thêm: "Việc mất 19 giờ là do sau khi nó trở nên phổ biến, toàn bộ trang web gần như không thể sử dụng được với bất kỳ ai."

Ý nghĩa kỹ thuật

Thử thách đã chứng kiến số lượng lớn nỗ lực tấn công, bất chấp quyết định của Pavur khi áp đặt giới hạn yêu cầu 1MB trên Nginx.

Alon Gal, đồng sáng lập kiêm CTO tại Hudson Rock, đánh giá cao thành tích của Modhwadia nhưng nhấn mạnh rằng thành công trong vài giờ không có nghĩa là cuộc tấn công tương tự có thể được tự động hóa ở quy mô lớn.

Ông nói: "Điều này có nghĩa là các tác nhân AI tự động giờ có thể xâm nhập các máy chủ PHP tùy ý ở quy mô lớn không? Không. Đây là một cuộc khai thác tinh vi, nhắm mục tiêu cụ thể. Nhưng nó chứng minh rằng PHP2Shell có thể bị vũ khí hóa chống lại một mục tiêu thực tế, ngay cả khi có những ràng buộc kỹ thuật đáng kể."

Bản proof of concept (PoC) của Modhwadia không phải là PoC đầu tiên chứng minh PHP2Shell có thể khai thác, nhưng nó thuộc nhóm nâng cao hơn. Những dấu hiệu ban đầu cho thấy Address Space Layout Randomization (ASLR) trên máy chủ dễ bị tổn thương sẽ là rào cản đáng kể đối với việc khai thác trong thực tế, và giải pháp của chuyên gia kiểm thử xâm nhập này đã vượt qua nó, cùng với các biện pháp bảo vệ khác được tiết lộ gần đây.

Spencer McIntyre, giám đốc phát triển khai thác tại VulnCheck, tuần trước nói với The Register rằng kẻ tấn công đang tìm ra những cách mới để khai thác PHP2Shell, và "rõ ràng đang dành thời gian (và token) cho lỗ hổng này".

Góc nhìn cho người dùng tại Việt Nam

Ban đầu, các chuyên gia cho biết mã khai thác đã được tìm thấy trực tuyến chỉ vài giờ, thậm chí vài ngày trước khi các lỗ hổng được công bố công khai, dẫn đến hàng triệu nỗ lực khai thác, dù còn quá sớm để xác định hiệu quả của chúng trên các hệ thống thực tế.

Hàng loạt trang web đã bị đưa xuống để bảo trì vào tuần trước khi các tổ chức chạy đua bảo vệ mình khỏi các cuộc tấn công. Đối với các doanh nghiệp và nhà phát triển Việt Nam đang vận hành hệ thống dựa trên PHP – vốn rất phổ biến trong các website và ứng dụng nội địa – đây là lời nhắc nhở cấp thiết về việc cập nhật bản vá bảo mật kịp thời và đánh giá lại cấu hình máy chủ.

Modhwadia cho biết anh đã quyên góp một phần tiền thưởng nhận được cho Quỹ Lupus nhằm nâng cao nhận thức về căn bệnh mà bản thân anh cũng mắc phải.

Thông tin nội dung dựa trên bài báo gốc của The Register về cuộc thi PHP2Shell và kết quả do chuyên gia kiểm thử xâm nhập Jaydip Modhwadia đạt được.