PHP 漏洞挑战实验结束：黑客利用 PHP2Shell 获取比特币奖励
10 月 25 日，一项旨在测试关键软件漏洞利用难度的实验宣告结束。一名黑客成功入侵了运行易受攻击 PHP 版本的服务器，并获得了价值 2,021.22 美元的 Bitcoin 奖金。该挑战由名为“cloudlandsdev”的用户发起，最初提供的奖金约为 502 美元，随后通过捐款增加至 0.02511679 BTC。
漏洞背景与攻击原理
此次实验基于 CVE-2026-109618 和 CVE-2026-109619 两个严重级别的 PHP 漏洞。这两个漏洞被称为“PHP2Shell”，涉及 PHP 的请求处理和内存管理过程。在特定配置下，攻击者可以利用这些漏洞以 Web 服务器账户权限执行远程代码。尽管相关修复补丁已于 10 月 21 日发布，但将漏洞转化为可靠攻击仍需针对未修补的服务器进行精确操作。
获胜者 illaKillaBoi 在 GitHub 上发布了概念验证（PoC），详细描述了攻击流程。该攻击利用了 PHP 处理多部分上传和会话数据的机制，通过将 PHP 工作进程推至超出其内存限制，使内部状态处于不一致模式。随后的请求通过会话 cookie 暴露了内存内容，提供了关于 PHP 内存结构和可执行代码位置的关键信息。攻击者利用这些地址构建伪造的 PHP 数据结构，在清理过程中触发命令执行，最终证明了命令在 PHP 进程中成功运行。
实验过程与技术挑战
挑战于一天前发布并通过论坛公告，持续约 19 小时 28 分钟。创建者在 10 月 25 日 15:47 UTC 记录了成功的索赔请求。然而，高关注度带来的流量也导致了技术问题。由于访问者迅速耗尽服务器的可用计算资源，且存储空间有限导致无法保留所有日志，记录成功尝试的过程变得复杂。
虽然服务器被成功入侵，但恢复的私钥与广告中公布的奖金地址并不匹配。链上数据显示，资金随后被发送到一个标记为 Kraken 冷钱包的地址 bc1qr4...lk7a9。
比特币找回案例回顾
此前，比特币的找回工作主要依赖逆向工程软件而非实时服务器攻击。2024 年，硬件黑客乔·格兰德 (Joe Grand) 和研究人员布鲁诺 (Bruno) 成功恢复了属于迈克尔 (Michael) 的 43.6 BTC 访问权限。迈克尔曾忘记了 20 个字符的钱包密码。研究人员通过逆向设计旧版 RoboForm 密码生成器，发现了一个使密码可预测的漏洞。他们在 2023 年 11 月找到钱包时，比特币价值约为 160 万美元；到 2024 年 5 月报道复苏时，价值已升至近 300 万美元。
另一近期案例发生在 2026 年 5 月，化名“cprkrn”的比特币持有者在失去钱包访问权限多年后，找回了价值约 40 万美元的 5 枚 BTC。他表示，Anthropic 的 Claude AI 帮助识别出 2019 年 12 月的一个备份文件，该文件可使用他此前记录在笔记本上的密码解密，其中包含了访问比特币所需的密钥。
安全影响与后续
PHP2Shell 漏洞的公开披露给安全团队带来了修补 PHP 安装的压力。有报告指出，过早公布漏洞细节可能破坏协调发布过程。此次实验的成功表明，利用这些 PHP 漏洞并非遥不可及，对未修补服务器的安全性构成了直接威胁。
