สรุปข่าว
- นักวิจัยด้านความปลอดภัย James Pavur จัดแคมเปญ StealMyBitcoin เพื่อพิสูจน์ความเสี่ยงในทางปฏิบัติ พร้อมตั้งเงินรางวัล 2,000 ดอลลาร์
- KillaBoi สามารถเจาะระบบสำเร็จในเวลาเพียง 19 ชั่วโมงเศษ และเผยแพร่รายงานทางเทคนิคอย่างละเอียดบน GitHub
- แม้ Pavur จะใส่กุญแจผิดดอกไว้บนเซิร์ฟเวอร์ทำให้ไม่สามารถถอดรหัสเอาเงินออกได้จริง แต่เขาก็ได้มอบเงินรางวัลเต็มจำนวนให้ KillaBoi ตามสัญญา
แนวโน้มผลกระทบ: Neutral
James Pavur นักวิจัยด้านความปลอดภัยไซเบอร์ เปิดแคมเปญ StealMyBitcoin เพื่อทดสอบช่องโหว่ระดับวิกฤตของ PHP โดยท้าทายให้แฮกเกอร์เจาะระบบเพื่อชิงรางวัล 2,000 ดอลลาร์ ซึ่งแฮกเกอร์ชื่อ KillaBoi สามารถทำสำเร็จ แม้ว่าในเวลาต่อมาจะพบข้อผิดพลาดว่า Pavur ใส่กุญแจผิดดอกไว้ทำให้ไม่สามารถถอดรหัสบิทคอยน์ออกมาได้จริง แต่จากหลักฐานการเจาะระบบก็ได้ทำให้ Pavur ตัดสินใจแสดงสปิริตโอนเงินรางวัลให้ KillaBoi ด้วยตนเอง
เมื่อสัปดาห์ที่ผ่านมา วงการไซเบอร์ต้องสั่นสะเทือนครั้งใหญ่ หลังจากการค้นพบช่องโหว่ระดับวิกฤตของ PHP ซึ่งเป็นภาษาโปรแกรมเบื้องหลังเว็บไซต์จำนวนมหาศาลทั่วโลก แต่ท่ามกลางความตื่นตระหนกนี้เอง James Pavur นักวิจัยด้านความปลอดภัยทางไซเบอร์ ได้เกิดไอเดียอยากทดสอบให้เห็นกันชัดๆ ว่าช่องโหว่ PHP นี้จะสามารถโจมตีในทางปฏิบัติได้จริงหรือไม่
Pavur จึงได้ทำการตั้งแคมเปญสุดท้าทายผ่านเว็บไซต์ stealmybitcoin.com โดยนำเซิร์ฟเวอร์ที่รัน PHP เวอร์ชันเก่าซึ่งยังมีช่องโหว่ PHP2Shell มาเปิดเป็นสนามทดลอง พร้อมตั้งรางวัลเป็น Bitcoin มูลค่า $500 เพื่อท้าทายเหล่านักแฮกทั่วโลกก่อนที่จะได้เงินบสมทบทุนและเพิ่มรางวัลขึ้นเป็น $2,000 (67,000 บาท)
สำหรับกติกาก็ไม่มีอะไรซับซ้อนคือใครแฮกเข้าเซิร์ฟเวอร์แล้วนำกุญแจเข้ารหัส Bitcoin Key ออกมาได้ ก็รับเงินรางวัลไปเลยทันที ทว่า ความท้าทายนี้จบลงเร็วกว่าที่คิด เมื่อ “KillaBoi” สามารถเจาะระบบได้สำเร็จในเวลาไม่ถึง 24 ชั่วโมง (ใช้เวลาจริงราว 19 ชั่วโมงเศษ) พร้อมกับตีพิมพ์สรุปข้อมูลทางเทคนิคถึงขั้นตอนการเจาะระบบไว้อย่างละเอียดบน Github
อย่างไรก็ตาม การแข่งขันครั้งนี้มีจุดพลิกผันเล็กน้อย เมื่อ Pavur ออกมายอมรับด้วยตัวเองภายหลังว่าเขาใส่กุญแจผิดดอกไว้บนเซิร์ฟเวอร์ ทำให้กุญแจที่ KillaBoi ถอดรหัสออกมาได้ ไม่สามารถใช้นำเงิน Bitcoin ออกมาได้จริง
แต่ถึงแม้จะเกิดข้อผิดพลาดขึ้น Pavur ได้ตรวจสอบ Server Log และยืนยันว่าเซิร์ฟเวอร์ถูกเจาะผ่านช่องโหว่จริง จึงได้แสดงสปิริตด้วยการโอนเงินรางวัล $2,000 เข้ากระเป๋าของ KillaBoi ด้วยตัวเอง พร้อมเปรยทิ้งท้ายว่าอาจจะจัดกิจกรรมความท้าทายรอบใหม่ขึ้นอีกในอนาคต
ที่มา: cybernews
มุมมองผู้เขียน: เหตุการณ์นี้สะท้อนให้เห็นถึงความเสี่ยงที่แท้จริงของช่องโหว่ในซอฟต์แวร์พื้นฐานที่ระบบส่วนใหญ่ใช้งานและความรวดเร็วในการโจมตีของแฮกเกอร์ยุคใหม่
