PHP2Shell Açığı Kullanılarak Bitcoin Ödülü Kazanıldı

Bir hacker, PHP2Shell açıklarını kullanarak bir sunucuya sızmayı başardı ve bu işlem sonucunda 2,021.22 dolar değerinde Bitcoin ödülünü kazandı. Bu olay, Steal My Bitcoin web sitesinde duyuruldu ve 25 Ekim'de sonuçlandı. Deneyin amacı, kritik yazılım açıklarının istismarının giderek daha kolay hale gelip gelmediğini test etmekti.

PHP2Shell Açığı ve Etkileri

PHP2Shell, PHP'nin istek işleme ve bellek yönetimi süreçlerindeki iki kritik açığı ifade ediyor. Bu açıklar, belirli koşullar altında uzaktan kod yürütülmesine olanak tanıyor. Açıkların ciddiyeti kritik olarak değerlendirildi ve 21 Ekim'de düzeltme güncellemeleri yayınlandı. Ancak, bu açıkları güvenilir bir şekilde istismar etmek, yalnızca halka açık bir istismarı rastgele bir sunucuya uygulamaktan daha fazlasını gerektiriyor.

Deneyin yaratıcısı ‘cloudlandsdev’ takma adıyla paylaşımlar yaptı ve projenin amacının bu açıkları kullanarak sunucayı tehlikeye atacak birinin olup olmadığını görmek olduğunu belirtti. Yarışma, başlangıçta yaklaşık 502 dolar değerinde Bitcoin ödülü sunuyordu, fakat bağışlar sayesinde ödül miktarı 0.02511679 BTC'ye yükseldi.

Deneyin Gelişimi ve Sonuçları

Deneyin başlama süresi yaklaşık 19.28 saat sürdü ve başarılı sızma, 25 Ekim UTC 15:47'de kaydedildi. Ancak, sunucunun sınırlı kaynakları, artan ziyaretçi trafiği nedeniyle sorunlar yaşadı. Bu durum, sunucunun tüm günlüklerini saklamasını zorlaştırdı ve başarılı bir girişimi belgelemeyi karmaşık hale getirdi.

Hacker, sunucunun kontrolünü ele geçirirken, sahte bir PHP veri yapısı oluşturdu ve bu yapı, komut yürütme sürecini tetikledi. Ancak, elde edilen özel anahtar, ödül adresiyle eşleşmedi. Yine de, on-chain veriler, fonların daha sonra “bc1qr4…lk7a9” adresine gönderildiğini gösteriyor; bu adres, Kraken soğuk cüzdanı olarak etiketlendi.

Güvenlik Açıkları ve Geçmiş Olaylar

Bitcoin kurtarma çabaları genellikle canlı bir sunucu istismarından ziyade yazılımın tersine mühendisliğini içermektedir. 2024 yılında, donanım hacker'ı Joe Grand ve araştırmacı Bruno, unutulmuş bir cüzdan şifresi nedeniyle kaybolan 43.6 BTC'yi geri kazanmayı başardı. Ayrıca, 2026 yılında, bir Bitcoin sahibi, eski bir yedek dosyayı bulmak için Claude AI'dan yardım alarak beş BTC kurtardı.

Sonuç

Son olay, PHP2Shell açığının kamuya açıklanmasının ardından güvenlik ekiplerinin PHP kurulumlarını güncellemeleri gerektiğini gösteriyor. Sonuç olarak, bu PHP açıklarının istismar edilmesinin düşündüğümüz kadar zor olmayabileceği ortaya çıkıyor.