Un hacker vole 2 000 $ de Bitcoin grâce à une faille PHP

Accueil » Actu de la crypto » Actualité du Bitcoin (BTC) » Un hacker vole 2 000 $ de Bitcoin grâce à une faille PHP

https://cryptoast.fr/faille-php-php2shell-hacker-2000-dollars-bitcoin-steal-my-bitcoin/

Il aura fallu un peu plus de 19 heures à un hacker pour remporter le défi Steal My Bitcoin. Un internaute avait installé une version vulnérable de PHP, un langage utilisé par une grande partie des sites web, sur un serveur contenant une clé privée Bitcoin. Quiconque parvenait à l'exploiter pouvait repartir avec la récompense.

Le gagnant, connu sous le pseudonyme KillaBoi, a réussi son attaque hier, à 15 h 47 UTC. La cagnotte atteignait alors 0,02511679 BTC, soit environ 2 021 dollars. L'organisateur, identifié sous le nom de cloudlandsdev sur le forum Hacker News, avait initialement mis en jeu 500 dollars, avant que des contributions extérieures ne fassent grimper le montant.

L'objectif de cette expérience était de vérifier si PHP2Shell, le nom donné à deux failles critiques de PHP corrigées le 21 octobre, pouvait réellement permettre de prendre le contrôle d'un serveur à distance. Pour cela, l'organisateur utilisait volontairement PHP 8.4.26, une version dépourvue des derniers correctifs.

La clé privée récupérée par KillaBoi ne correspondait pas à l'adresse Bitcoin associée à la récompense. L'organisateur avait placé sur le serveur la clé d'une autre branche de son portefeuille. Après avoir confirmé la réussite de l'attaque grâce aux journaux du serveur, il a finalement transféré lui-même les bitcoins au gagnant.

KillaBoi a publié le code de son attaque sur GitHub, accompagné d'explications techniques. Le hacker a d'abord provoqué un épuisement de la mémoire du serveur, puis exploité les données laissées par le processus PHP pour récupérer des adresses internes.

📰 Bitcoin : « L'IA et les risques liés au quantique me rendent plus pessimiste qu'auparavant »

Ces informations lui ont permis de contourner l'ASLR, une protection qui rend les emplacements de la mémoire imprévisibles. Il a ensuite construit de fausses structures de données pour faire exécuter ses propres commandes au serveur.

Selon sa démonstration, une vingtaine de requêtes HTTP suffisent. Lors de 10 essais réalisés dans son environnement de test, l'attaque a fonctionné 7 fois.

KillaBoi précise toutefois que son exploit a été développé pour la configuration particulière du défi et ne fonctionne pas nécessairement sur d'autres installations PHP. Plusieurs participants ont également relevé que le serveur avait été initialement mal configuré, empêchant l'exploitation de la faille pendant une grande partie du défi.

Pour le chercheur en cybersécurité Hacker Fantastic, de la société Hacker House, cette démonstration confirme la gravité du problème.