Помните, на прошлой неделе многие разгоняли про уязвимости в PHP?

Помните, на прошлой неделе многие разгоняли про уязвимости в PHP?

Чел из сети сделал из этого виральный челлендж, чтобы проверить, насколько велика опасность. Ну, и немножко собрать популярности (но это не точно).

24 октября 2026 года в сети появляется простой сайт StealMyBitcoin.com.

На главной странице крупный счетчик, адрес кошелька и надпись: «На этом сервере лежит 0.025 BTC (около $2 000). Твоя задача - украсть их». Никаких регистраций, капч и сложных правил. Кто первый взломал - того и деньги.

Новость мгновенно облетела Reddit, Twitter и Hacker News. Тысячи хакеров, ИБ-шников и просто любопытных разработчиков со всего мира бросились ломать»сервер. На сайт обрушился такой гигантский поток DDoS-трафика, что он постоянно падал просто от количества желающих.

Как развивалась драма?

1. Первые 15–17 часов: Сервер стоит. Участники безуспешно пытаются пробить защиту. Создавалось ощущение, что PHP-сервер - это неприступная крепость.

2. Переломный момент: Внимательные участники замешкались и поняли, что автор челленджа изначально настроил сервер не совсем правильно: PHP просто отдавал статическую страницу, из-за чего атака была физически невозможна.

3. Честный апдейт: Автор заметил ошибку, выложил честный .php файл и написал в соцсетях: "Ой, косяк, исправил конфигурацию. Пробуйте теперь".

4. Финал: Как только условия стали боевыми, хакер под ником KillaBoi пробил сервер всего за 1.5–2 часа, вывел биткоины на свой кошелек и сразу же выложил подробный технический разбор (PoC) на GitHub!

Зачем автор вообще это сделал?

У этого эксперимента было три главных цели:

1. Проверить на практике громкие заявления

За пару дней до этого в IT-сообществе началась паника из-за новой опасной уязвимости в PHP. Эксперты по безопасности и медиа кричали на каждом углу: *«Если у вас уязвимый PHP-сервер, автоматические боты взломают его за 30 секунд!»*.

Эксперимент показал, что боты не смогли ничего сделать: нужен был реальный специалист, который вручную нашел цепочку уязвимостей.

2. Бесплатный и идеальный баг-баунти

Если бы автор нанял аудиторскую компанию для тестирования безопасности, это стоило бы ему от $10,000 до $30,000 и заняло бы недели. Положив на кошелек $2 000, он заставил тысячи лучших специалистов планеты бесплатно и одновременно тестировать его сервер на прочность.

3. Виральность и медийность

За $2 000 автор получил:

* Первые места на Hacker News и Reddit. * Сотни тысяч уникальных посетителей за сутки. * Десятки статей в профильных СМИ и разборы в IT-каналах.

В пересчете на обычный маркетинг или покупку рекламы такой охват обошелся бы в десятки тысяч долларов. А он получил его по цене пары тысяч, потраченных на азартный челлендж.

____

Ну что ж, уязвимость не такая ужасная, выдыхаем, ребята

@productgames