Desenvolvedor demonstra ataque com PHP2Shell e vence desafio de R$ 10 mil em Bitcoin

Um especialista em testes de segurança britânico ganhou um prêmio de US$ 2 mil em Bitcoin (cerca de R$ 10.900) após demonstrar um ataque em um sistema com o exploit “PHP2Shell”.

O desafio de captura de bandeira (CTF, na sigla em inglês) foi apelidado de “Steal My Bitcoin” e criado pelo pesquisador James Pavur neste sábado (24).

A competição buscava testar a facilidade real de invadir um servidor com essa falha , segundo informações do portal The Register .

Aos 26 anos, o desenvolvedor Jaydip Modhwadia, conhecido pelo apelido “Killa”, superou as barreiras de proteção e assumiu o controle do servidor de testes.

O site oficial do evento marcava que a invasão ocorreu em 19 horas, porém a oscilação da página pelo excesso de acessos atrasou as tentativas.

Contudo, ele confirmou, ao veículo especializado, que o processo de invasão levou cerca de três horas.

Falhas de configuração no servidor No início do teste, o pesquisador do canal LiveOverflow e usuários do fórum Hacker News notaram um problema no site do desafio.

A página, servida em HTML estático, não possibilitava utilizar o método ‘PHP2Shell’ .

Como o ataque depende de um website capaz de servir arquivos PHP para funcionar, o criador da competição precisou alterá-lo no domingo (25) .

Desenvolvedor britânico vence desafio e fatura U$ 2 mil em Bitcoin Foto: Reprodução/ChatGPT Depois da mudança, Modhwadia conseguiu invadir o sistema às 12h47 (horário de Brasília).

O desenvolvedor criou um programa para burlar a segurança do servidor e disponibilizou o passo a passo da solução em repositório no GitHub .

A entrega do prêmio envolveu um ajuste manual por parte do organizador devido a um erro no envio da chave da carteira digital.

Depois da correção, a comunidade de segurança cibernética adicionou recursos e elevou a recompensa inicial de US$ 500 para US$ 2 mil.

Impactos reais e mitigação em escala Apesar do sucesso de Jaydip Modhwadia na competição, especialistas alertam que o feito não significa que qualquer invasor consiga automatizar ataques em massa imediatamente .