Помните пару недель назад писал про две критических уязвимости в PHP, из-за которого существенное количество сайтов ушло в оффлайн, чтобы обновиться до исправленной версии?
После его релиза «эксперты» начали говорить, что уязвимости не такие серьезные, и что на самом деле эксплуатировать их в реальном мире крайне затруднительно или вообще невозможно. Одним из главных аргументов было то, что ни одна из сторон анонса не выложила рабочий эксплойт (код, который использует уязвимость, чтобы получить неправомерный доступ к системе), а значит его и нет — что а) само по себе тупо б) хоть и является технической правдой (кода не было), но не является логичным умозаключением, так как в анонсах были примеры атаки на реальные продукты в виде видео.
Один из скептиков решил проверить это и сделал сайт, на который добавил секретный ключ биткоин-кошелька с $500 на счету — и выложил на HN, чтоб все попытались его взломать и продемонстрировать успех. За первые несколько часов этого не произошло, и комментаторы на сайте конечно же начали видеть в этом подтверждение своему мнению.
...оказалось, что а) на сайт было много трафика, и он просто падал, многие запросы оставались неотвеченными б) сам сайт был неуязвим, так как на нём хоть и был установлен PHP, и через него даже запускалась основная страница, но это не был тот сетап, который подвержен проблеме.
В итоге автор добавил серверу ресурсов, слегка поменял код (до этого он был слишком «простым» и не отражал то, как работают обычные сайты) и... уязвимость сработала, а хакер получил ключ от кошелька — правда автор и тут не смог всё сделать правильно, и указал не тот ключ... ну ладно.
И вот виновник обсуждений написал результирующий блогпост, где признается:
«Я запустил этот сайт из-за некоторого скептицизма по поводу сообщений о серьёзной уязвимости PHP, несмотря на отсутствие реальных жертв этой атаки. Честно говоря, я думаю, что моё мнение было неверным. PHP2Shell — это реальная угроза. Это уязвимость, которую можно использовать»
Также пишет, что эксплуатация всё ещё достаточно сложна, и человек без экспертизы, но с LLM, не сможет скорее всего воспользоваться. Тут я не согласен, мне кажется большая часть просто а) не пыталась всерьёз (не потратили много токенов) б) не использовали самые умные модели, в том числе потому, что те блокируют запросы на взлом.
Вот тут эксперт, который взломал OpenAI пару месяцев назад, пишет, что в его тестах только Mythos и Sol-5.6 могут за 2-4 часа осуществить атаку, и что он думает, что открытые модели не смогли бы этого сделать (он провёл тесты GLM-5.3 и даже Kimi K3.1, которые работали >20 часов). Это, кстати, и одновременно ответ на позицию «почему из Китая мы не слышим новостей про взлом? Да потому что это всё американцы хайпят!» — нет, просто у тех модели гораздо глупее 🙂