Da muss ich mir wohl selbst eine reinhauen. Heute früh hatte ich noch geschrieben, dass die PHP-Challenge von stealmybitcoin schon seit über einem halben Tag online war und niemand das Geld mitgenommen hatte – und dass „vulnerable“ nicht gleich „exploitable“ bedeutet. Doch noch vor Tagesanbruch wurde sie von @killa geknackt.
Laut der Zusammenfassung auf X lief auf der Challenge PHP 8.4.26 ohne den Patch vom 21. Oktober. Die Angriffskette bestand aus einer Speicherbeschädigung und einer Umgehung von ASLR; insgesamt dauerte es etwa 19 Stunden. Am absurdesten ist, was LiveOverflow enthüllt hat: Killa war tatsächlich schon einige Stunden zuvor drin, war aber völlig perplex, weil die auf dem Server hinterlegte Wallet-Adresse schlicht falsch war. Die Tür war längst aufgebrochen – nur lag das Geld nicht dahinter.
Ein paar Dinge daran sind wichtiger als die Schwachstelle selbst:
Die Logik „So lange online und niemand stiehlt etwas = nicht so gefährlich“ kann man vergessen. Bei der Challenge gab es anfangs reihenweise 502-Fehler und Time-outs. Jemand stellte fest, dass PHP die meiste Zeit nicht erreichbar war, s1r1us beschimpfte die Challenge als miserabel gemacht, und eine Gruppe von Leuten, die ohnehin nicht an die Fähigkeit von KI glaubt, Schwachstellen zu finden, nutzte das prompt als Anlass, die Lücke für übertrieben zu erklären. Eine schlecht gemachte Challenge bedeutet nicht, dass die Schwachstelle erfunden ist.
Schwer auszunutzen heißt nicht, dass es niemand tut. Für gerade mal 0,025 BTC ist jemand bereit, sich einen ganzen Tag damit abzumühen. Wie viel ist wohl der ungepatchte Rechner im Backend deines Projekts wert?
Und noch etwas: In der Krypto-Szene sind es immer die Coin-Emittenten, die am schnellsten sind – nicht die White Hats. Während die Sache noch heiß ist, posten Leute in den Kommentaren schon Contract-Adressen, die auf „pump“ enden, und unterscheiden zwischen „richtiger“ und „falscher“ Version. Aus einer Sicherheits-Challenge wurde kurzerhand ein Shitcoin. Wer von denen und den Leuten, die die Lücke ausgenutzt haben, eher wie ein Hacker wirkt, könnt ihr selbst beurteilen.
Projektverantwortliche, hört auf, Erklärungen wie „Wir benutzen kein PHP“ zu veröffentlichen. Frontend, Backend und Kundendienstsysteme müssen alle überprüft werden. An Kleinanleger nur ein Satz: Finger weg von dem Coin.
#PHP #Cybersicherheit
Laut der Zusammenfassung auf X lief auf der Challenge PHP 8.4.26 ohne den Patch vom 21. Oktober. Die Angriffskette bestand aus einer Speicherbeschädigung und einer Umgehung von ASLR; insgesamt dauerte es etwa 19 Stunden. Am absurdesten ist, was LiveOverflow enthüllt hat: Killa war tatsächlich schon einige Stunden zuvor drin, war aber völlig perplex, weil die auf dem Server hinterlegte Wallet-Adresse schlicht falsch war. Die Tür war längst aufgebrochen – nur lag das Geld nicht dahinter.
Ein paar Dinge daran sind wichtiger als die Schwachstelle selbst:
Die Logik „So lange online und niemand stiehlt etwas = nicht so gefährlich“ kann man vergessen. Bei der Challenge gab es anfangs reihenweise 502-Fehler und Time-outs. Jemand stellte fest, dass PHP die meiste Zeit nicht erreichbar war, s1r1us beschimpfte die Challenge als miserabel gemacht, und eine Gruppe von Leuten, die ohnehin nicht an die Fähigkeit von KI glaubt, Schwachstellen zu finden, nutzte das prompt als Anlass, die Lücke für übertrieben zu erklären. Eine schlecht gemachte Challenge bedeutet nicht, dass die Schwachstelle erfunden ist.
Schwer auszunutzen heißt nicht, dass es niemand tut. Für gerade mal 0,025 BTC ist jemand bereit, sich einen ganzen Tag damit abzumühen. Wie viel ist wohl der ungepatchte Rechner im Backend deines Projekts wert?
Und noch etwas: In der Krypto-Szene sind es immer die Coin-Emittenten, die am schnellsten sind – nicht die White Hats. Während die Sache noch heiß ist, posten Leute in den Kommentaren schon Contract-Adressen, die auf „pump“ enden, und unterscheiden zwischen „richtiger“ und „falscher“ Version. Aus einer Sicherheits-Challenge wurde kurzerhand ein Shitcoin. Wer von denen und den Leuten, die die Lücke ausgenutzt haben, eher wie ein Hacker wirkt, könnt ihr selbst beurteilen.
Projektverantwortliche, hört auf, Erklärungen wie „Wir benutzen kein PHP“ zu veröffentlichen. Frontend, Backend und Kundendienstsysteme müssen alle überprüft werden. An Kleinanleger nur ein Satz: Finger weg von dem Coin.
#PHP #Cybersicherheit