Один скептик с Hacker News решил доказать, что всё вокруг Php2Shell раздуто. План был такой. Поднять сайт stealmybitcoin.com на непропатченном PHP 8.4.26, причём не на «опасном» mod_php, а на «правильном» nginx + FPM. Положить на сервер приватный ключ от биткоин-кошелька, запустить таймер и предложить интернету забрать деньги, если сможет. Интернет оценил идею так высоко, что начал скидываться на приз. Банк вырос с $500 до $2000. Публика подтягивалась: одни ломали, другие писали, что никакого RCE не будет. Сервер периодически падал под нагрузкой, но держался. Продержался он 19 часов с небольшим. Исследователь KillaBoi уронил PHP в out-of-memory, вытащил адреса из кучи через раздутые cookie, подделал callback и получил выполнение команд. Ключ извлечён, эксплойт работает, хайп подтверждён. Дальше начинается настоящая комедия. Украденный ключ не подходит к кошельку с призом. Автор челленджа, как выяснилось, выложил ключ не от того адреса. То есть все эти часы интернет штурмовал сейф, в котором лежала квитанция от соседнего сейфа. Автор честно признал ошибку и пообещал перевести деньги вручную. Кошелёк опустел. Итоги эксперимента: 1. PHP2Shell эксплуатируется, в том числе на FPM. 2. Биткоины украсть не удалось, их пришлось подарить. 3. Сложнее всего в этой истории оказалось не написать эксплойт, а правильно экспортировать ключ из собственного кошелька. Патчитесь. И проверяйте, что именно вы прячете 😂 @gostev_future