นักพัฒนาสร้างเว็บท้าทายช่องโหว่ PHP2Shell พร้อมรางวัล 2,000 ดอลลาร์ ถูกแฮกภายใน 19 ชั่วโมง
Body
ผู้ใช้เว็บบอร์ด Hacker News ที่ใช้ชื่อบัญชี cloudlandsdev เปิดตัวเว็บ stealmybitcoin.com เป็นเว็บ PHP ง่ายๆ ที่วางกุญแจลับของบิตคอยน์เอาไว้ภายใน เพื่อทดสอบว่าการติดตั้ง PHP แบบปกติมีความเสี่ยงจริงหรือไม่ และสุดท้ายนักวิจัยก็ขโมยเอาบิตคอยน์ออกไปได้ภายในเวลา 19.28 ชั่วโมงเท่านั้น
แนวทางการทดสอบของ cloudlandsdev คือการติดตั้ง PHP ผ่านทาง nginx FPM ที่ได้รับความนิยมสูงกว่า mod_php อย่างมากในช่วงหลัง เนื่องจากต้องการพิสูจน์ว่าช่องโหว่ PHP2Shell ไม่ได้น่ากลัวอย่างที่เป็นข่าวหากพิจารณาว่าคนส่วนใหญ่ติดตั้ง PHP ผ่าน FPM
ผู้แฮกระบบสำเร็จเป็นคนแรกใช้ชื่อบัญชี killaonx เจาะเข้าระบบผ่านทางการอัพโหลดไฟล์กระตุ้นให้ PHP ใช้แรมจนหมด, เจาะข้อมูล heap และโค้ดใน PHP, สุดท้ายปลอม callback เพื่อเรียกคำสั่งใดๆ ที่ต้องการ
แม้กระบวนการที่เปิดเผยออกมาจะไม่ได้ง่ายระดับการยิง HTTP ทีเดียวสำเร็จ แต่ก็แสดงให้เห็นว่าช่องโหว่ PHP2Shell กระทบเป็นวงกว้างและเปิดช่องทางคนร้ายได้จริง
ที่มา - Hacker News
lew Mon, 26/10/2026 - 09:30
Continue reading...
Body
ผู้ใช้เว็บบอร์ด Hacker News ที่ใช้ชื่อบัญชี cloudlandsdev เปิดตัวเว็บ stealmybitcoin.com เป็นเว็บ PHP ง่ายๆ ที่วางกุญแจลับของบิตคอยน์เอาไว้ภายใน เพื่อทดสอบว่าการติดตั้ง PHP แบบปกติมีความเสี่ยงจริงหรือไม่ และสุดท้ายนักวิจัยก็ขโมยเอาบิตคอยน์ออกไปได้ภายในเวลา 19.28 ชั่วโมงเท่านั้น
แนวทางการทดสอบของ cloudlandsdev คือการติดตั้ง PHP ผ่านทาง nginx FPM ที่ได้รับความนิยมสูงกว่า mod_php อย่างมากในช่วงหลัง เนื่องจากต้องการพิสูจน์ว่าช่องโหว่ PHP2Shell ไม่ได้น่ากลัวอย่างที่เป็นข่าวหากพิจารณาว่าคนส่วนใหญ่ติดตั้ง PHP ผ่าน FPM
ผู้แฮกระบบสำเร็จเป็นคนแรกใช้ชื่อบัญชี killaonx เจาะเข้าระบบผ่านทางการอัพโหลดไฟล์กระตุ้นให้ PHP ใช้แรมจนหมด, เจาะข้อมูล heap และโค้ดใน PHP, สุดท้ายปลอม callback เพื่อเรียกคำสั่งใดๆ ที่ต้องการ
แม้กระบวนการที่เปิดเผยออกมาจะไม่ได้ง่ายระดับการยิง HTTP ทีเดียวสำเร็จ แต่ก็แสดงให้เห็นว่าช่องโหว่ PHP2Shell กระทบเป็นวงกว้างและเปิดช่องทางคนร้ายได้จริง
ที่มา - Hacker News
lew Mon, 26/10/2026 - 09:30
Continue reading...