Um especialista em testes de segurança britânico ganhou um prêmio de US$ 2 mil em Bitcoin (cerca de R$ 10.900) após demonstrar um ataque em um sistema com o exploit “PHP2Shell”. O desafio de captura de bandeira (CTF, na sigla em inglês) foi apelidado de “Steal My Bitcoin” e criado pelo pesquisador James Pavur neste sábado (24). A competição buscava testar a facilidade real de invadir um servidor com essa falha, segundo informações do portal The Register.
Aos 26 anos, o desenvolvedor Jaydip Modhwadia, conhecido pelo apelido “Killa”, superou as barreiras de proteção e assumiu o controle do servidor de testes. O site oficial do evento marcava que a invasão ocorreu em 19 horas, porém a oscilação da página pelo excesso de acessos atrasou as tentativas. Contudo, ele confirmou, ao veículo especializado, que o processo de invasão levou cerca de três horas.
Falhas de configuração no servidor
No início do teste, o pesquisador do canal LiveOverflow e usuários do fórum Hacker News notaram um problema no site do desafio. A página, servida em HTML estático, não possibilitava utilizar o método ‘PHP2Shell’. Como o ataque depende de um website capaz de servir arquivos PHP para funcionar, o criador da competição precisou alterá-lo no domingo (25).
Depois da mudança, Modhwadia conseguiu invadir o sistema às 12h47 (horário de Brasília). O desenvolvedor criou um programa para burlar a segurança do servidor e disponibilizou o passo a passo da solução em repositório no GitHub.
