Un developer e pentester britannico ha recentemente ottenuto un premio in Bitcoin del valore di 2.000 dollari per aver dimostrato la vulnerabilità del PHP2Shell, che aveva destato preoccupazione nel panorama della sicurezza informatica. Jaydip Modhwadia, 26 anni, noto anche come “Killa”, ha vinto il premio messo in palio da James Pavur, il quale ha lanciato il sito “Steal My Bitcoin” il 24 ottobre.
Pavur ha lanciato una sfida di Capture The Flag (CTF) per dimostrare che l’exploit di PHP2Shell non fosse così semplice come sostenevano alcuni esperti di cybersecurity e ha promesso 2.000 dollari in Bitcoin a chiunque riuscisse a ottenere l’Esecuzione Remota di Codice (RCE) sul suo sito web. La pagina del sito ora riporta: “Il mio Bitcoin è stato rubato dopo 19,28 ore”, anche se il tempo reale impiegato da Modhwadia per completare la sfida è ritenuto essere stato inferiore a tre ore.
Subito dopo il lancio della sfida sabato, alcuni aspiranti concorrenti avevano segnalato che il sito, che serviva solo HTML statico, non era strutturato in modo da consentire l’exploit PHP2Shell per raggiungere l’RCE. Anche se la pagina era in esecuzione su una versione vulnerabile di PHP, il percorso di exploit richiedeva un sito vulnerabile in grado di servire un file PHP da utilizzare come aggancio – qualcosa che Pavur ha apparentemente aggiornato intorno alle 13:00 UTC del 25 ottobre. Modhwadia ha infatti ottenuto l’RCE sul sito, esponendo un endpoint PHP, alle 15:47 UTC.
Dopo un errore di Pavur nel posizionare la chiave del wallet errata sul server, il creatore della CTF ha inviato a Modhwadia il suo premio, che la comunità aveva aumentato a 2.000 dollari rispetto ai 500 iniziali promessi. Il pentester ha pubblicato una descrizione del suo metodo, costituita da uno script Python in un singolo file, che afferma richiedere “al massimo” 20 richieste HTTP per eseguire completamente l’exploit.
In un’intervista con The Register, Modhwadia ha confermato di aver ottenuto la flag in “circa tre ore”. Ha seguito le notizie sulla competizione, “ma non ho tentato di partecipare fino a quando non ha guadagnato una certa notorietà”. Se avesse tentato prima che Pavur introducesse l’endpoint, sarebbe potuto incorrere in difficoltà. Per ore, diversi cacciatori di bug avevano cercato di accedere al sito per provare la sfida, mentre la notizia del CTF si diffondeva rapidamente nei circoli tecnologici. “Il fatto che ci siano volute 19 ore è dovuto al fatto che, dopo che è diventato popolare, l’intero sito è diventato praticamente non utilizzabile per chiunque,” ha aggiunto Modhwadia.
La sfida ha attirato un numero enorme di tentativi, nonostante la decisione di Pavur di introdurre un limite di 1 MB per le richieste su Nginx. Alon Gal, cofondatore e CTO di Hudson Rock, ha elogiato il lavoro di Modhwadia, ma ha aggiunto che il suo successo, ottenuto in poche ore, non deve far credere che lo stesso attacco possa essere automatizzato su larga scala. “Questo significa che agenti AI autonomi possano ora compromettere server PHP arbitrari su larga scala? No. Questo è stato un exploit sofisticato e specifico per un bersaglio,” ha dichiarato Gal.
Modhwadia ha dimostrato che PHP2Shell può essere utilizzato contro un bersaglio live, anche con vincoli tecnici significativi. La sua prova di concetto non è la prima a dimostrare l’esploitabilità del PHP2Shell, ma rientra in una categoria più avanzata. Segnalazioni iniziali indicavano che la Randomizzazione della Disposizione dello Spazio degli Indirizzi (ASLR) su un server vulnerabile avrebbe rappresentato una significativa barriera all’esploitazione nel mondo reale, e la soluzione adottata dal pentester supera questo ostacolo, insieme ad altri recentemente divulgati.
Spencer McIntyre, direttore dello sviluppo degli exploit presso VulnCheck, ha dichiarato a The Register la scorsa settimana che gli aggressori stanno trovando nuovi modi per sfruttare PHP2Shell e “stanno chiaramente dedicando tempo (e token) a questo bug”. Inizialmente, esperti avevano detto che il codice di exploit veniva trovato online ore, o addirittura giorni, prima che le vulnerabilità fossero divulgate pubblicamente, il che aveva portato a milioni di tentativi di exploit, anche se era troppo presto per determinare l’efficacia di questi su sistemi reali.
Diversi siti web sono stati messi fuori servizio per manutenzione la scorsa settimana mentre le organizzazioni si affrettavano a proteggersi dagli attacchi, i quali potrebbero aver avuto, oppure no, successo. Modhwadia ha dichiarato di aver donato una parte del premio ricevuto alla Lupus Foundation per sensibilizzare sulla condizione da cui anche lui è affetto.
