我给小偷准备了 500 美元比特币：stealmybitcoin.com 的运行记录
来源：pavursec.com — 2026-10-30
📋 概述
PHP 爆出「PHP2Shell」远程代码执行漏洞后，媒体把它描述成末日级灾难。作者决定亲自验证：花 2.5 美元一个月租了台 VPS，放上含 500 美元比特币私钥的 flag 文件，把域名起名叫 stealmybitcoin.com 挂到 Hacker News。约 26 小时里站点收到超过 1300 万次请求、约 12 万个独立 IP 访问，最终只有两个 IP 触发了 flag 程序，只有一人成功提走密钥并提交了 writeup。结论是漏洞确实在真实环境可利用，但极度依赖具体配置，「AI 加持、人人可黑」并未出现。
🔑 核心要点
- 挑战持续约 26 小时，收到超过 1300 万次 HTTP 请求，峰值约每分钟 18000 次。
- 约 20000 个 IP 做了实质性攻击尝试，观测到约 2075 次 PHP SIGSEGV。
- 仅 2 个 IP 成功执行 print-flag，仅 1 人完整窃取私钥并提交了利用方式说明。
- 作者确认漏洞在真实环境可利用，但赢家的利用链是针对他那套具体安装配置构造的。
💡 金句
数以万计的人试图偷走我的比特币，而真正拿到的只有一个人。
👍 0
👎 0
← 返回 Lobsters 首页