स्टील माय बिटकॉइन: PHP एक्सप्लॉइट का हाइप बनाम हकीकत

अगर आपने हाल में सिक्योरिटी से जुड़े सोशल मीडिया पर थोड़ा भी वक़्त बिताया है, तो आपने यह दावा ज़रूर देखा होगा: नए PHP रिमोट कोड एक्ज़िक्यूशन बग्स इतने आसान हैं कि AI एजेंट्स पहले ही हज़ारों कमज़ोर सर्वरों को अपने-आप एक्सप्लॉइट कर रहे हैं। झुंड के झुंड। रोके न जा सकने वाले। एक डेवलपर इस शोर से तंग आ गया और उसने इस पर कुछ बेहद सीधा-सादा किया। उसने एक ऐसा सर्वर खड़ा किया जिस पर PHP का पैच से पहले वाला वर्ज़न चल रहा था, और लगभग पाँच सौ डॉलर का एक Bitcoin key वहाँ छिपा दिया जहाँ कामयाब हमलावर उस तक पहुँच सकता था। फिर उसने एक लिंक पोस्ट किया, दो शब्दों के न्योते के साथ: इसे चुराओ। आख़िरकार, एक PHP एक्सप्लॉइट को कथित तौर पर कोई भी चैटबॉट लंच से पहले निकाल कर दे सकता था। साइट का टाइमर गिनती करने लगा। फिर कुछ दिलचस्प हुआ — कुछ नहीं हुआ।

घंटे बीत गए। सिक्के वहीं पड़े रहे। कमेंट सेक्शन में एक खास तरह की खामोशी छा गई — वह खामोशी जिसमें वे दर्जनों लोग शामिल थे जो कई दिनों से अड़े थे कि यह एक्सप्लॉइट बच्चों का खेल है, और अचानक उन्हें ऐसी ज़रूरी वजहें याद आ गईं जिनकी वजह से वे इसे दिखा ही नहीं सकते थे। इस स्टंट के बारे में आप जो भी सोचें, इसने सिक्योरिटी की चर्चा में एक दुर्लभ काम किया: एक वायरल दावे को परखने लायक (falsifiable) बना दिया।

एक सर्वर जिसे लूटने के लिए बनाया गया था

इस सेटअप के मैकेनिक्स कैप्चर-द-फ़्लैग प्रतियोगिताओं से लिए गए हैं। Bitcoin की प्राइवेट key किसी web root फ़ाइल या environment variable में नहीं रखी है — वह एक print-flag बाइनरी के पास है, जो PHP यूज़र अकाउंट से एक्सेस हो सकती है। यानी कामयाब हमलावर को मशीन पर असली कोड एक्ज़िक्यूशन चाहिए, सिर्फ़ जानकारी लीक या path traversal से काम नहीं चलेगा। आपको शेल हासिल करना होगा, बाइनरी चलानी होगी, key पढ़नी होगी और वॉलेट खाली करना होगा, इससे पहले कि कोई और कर दे। PHP बिल्ड जानबूझकर उन हाल के CVE पैचों से पहले का चुना गया था, और पूरी चीज़ के साथ एक हँसमुख डिस्क्लेमर भी दिया गया था कि सारा ट्रैफ़िक लॉग होता है और मशीन पर किसी भी चीज़ को निजी न माना जाए।

इस सर्वर पर लगभग $502 कीमत की एक bitcoin key छिपी है। यह print-flag बाइनरी के ज़रिए PHP यूज़र अकाउंट से एक्सेस की जा सकती है। वॉलेट सबसे पहले पाने वाला जीतता है।

लेखक ने एक और अदा भी जोड़ी: अगर आपको पैसों की ज़रूरत नहीं है, तो उन्हें दान करने पर विचार करें। और साइट ने एक लाइव काउंटर भी दिखाया — बिना कामयाब हैक के बीते घंटे — जिसने पूरे पेज को एक स्कोरबोर्ड बना दिया। हर बीतता घंटा अपने आप में एक डेटा पॉइंट था। एक दिन के भीतर वह काउंटर इंटरनेट पर सबसे दिलचस्प सिक्योरिटी मेट्रिक बन गया, क्योंकि वह उस भविष्यवाणी को माप रहा था जिस पर लोगों ने अपनी साख दाँव पर लगाई थी।

$500 का इनाम कैसे एक falsifiability मशीन बन जाता है

सिक्योरिटी में ज़्यादातर दावे अपनी बनावट से ही अपुष्ट होने लायक नहीं होते। “हमलावर इसे असल दुनिया में पहले से एक्सप्लॉइट कर रहे हैं” — ऐसी टेलीमेट्री पर आधारित जो आप देख नहीं सकते। “कोई जूनियर analyst इसे एक दोपहर में हथियार बना सकता है” — कभी साबित नहीं किया गया। “हमारे एजेंट्स ने अपने-आप काम करने वाले एक्सप्लॉइट खोज निकाले” — डेमो वीडियो पर भरोसा कीजिए। नकार को साबित करने का कोई तरीका नहीं होता, इसलिए दावे बस जमा होते जाते हैं। घबराहट सस्ती पड़ती है, क्योंकि उसकी कोई जवाबदेही नहीं होती।

एक सार्वजनिक टाइमर के साथ सार्वजनिक इनाम हिसाब-किताब बदल देता है। अगर सचमुच हज़ारों स्वायत्त एजेंट इंटरनेट को खंगालकर हर अनपैच्ड PHP बॉक्स को तोड़ रहे हैं, तो एक ऐसा बॉक्स जो ठीक वही कमज़ोरी विज्ञापित कर रहा है, नकद इनाम और साफ़ इजाज़त के साथ, मिनटों में गिर जाना चाहिए। घंटों में नहीं। मिनटों में। प्रोत्साहन पूरी तरह एक-दूसरे के अनुकूल हैं: यह कानूनी है, प्रोत्साहित किया जाता है और इसका भुगतान भी होता है। जब इसके बजाय काउंटर लगातार चढ़ता रहा, तो एक खास दावा — कि बड़े पैमाने पर स्वायत्त एक्सप्लॉइटेशन पहले से हो रहा है — सीधे चोट खा गया। एक कमेंटर ने कहा कि झुंड-एजेंट्स वाली कहानी साफ़ तौर पर नहीं हो रही थी, वरना सिक्के कब के जा चुके होते।

अपने काम के लिए यह तरकीब उधार लेने लायक है। अगली बार जब कोई वेंडर या इन्फ़्लुएंसर बताए कि कोई vulnerability हर जगह एक्सप्लॉइट हो रही है, तो पूछिए कि कौन-सा अवलोकन उन्हें गलत साबित करेगा। अगर कोई ऐसा अवलोकन नहीं है, तो आप विश्लेषण नहीं सुन रहे — आप मार्केटिंग सुन रहे हैं। Bitcoin इनाम इसलिए काम कर गया क्योंकि उसने भावनाओं को एक शर्त में बदल दिया, और शर्तों की खूबी यह होती है कि उनका फ़ैसला हो सकता है।

एक्सप्लॉइट इकोनॉमिक्स: असली हमलावर क्यों नहीं खेलते

यहाँ प्रतिदलील है, और वह अच्छी है: खामोशी उतना नहीं साबित करती जितना दिखती है, क्योंकि किसी ताज़ा CVE का काम करने वाला एक्सप्लॉइट $500 से कहीं ज़्यादा कीमती है — पर सिर्फ़ एक राज़ के रूप में। हर बार जब आप किसी टारगेट पर एक्सप्लॉइट चलाते हैं, तो उसके लॉग होने, रिवर्स-इंजीनियर होने और बेकार हो जाने का जोखिम रहता है। और ऐसे सर्वर पर उसे चलाना जिसका मालिक पहले ही बता चुका है कि सारा ट्रैफ़िक लॉग होता है और पूरा इंटरनेट देख रहा है? यह इनाम नहीं, यह अलाव है।

थ्रेड में दोनों तरफ़ से ठीक यही तर्क सामने आया। आक्रामक एक्टर्स के पास $500 के वॉलेट से कहीं ज़्यादा कीमती टारगेट होते हैं, और वे अपने टूल्स को लॉग पढ़ने वाले किसी भी व्यक्ति को सौंपने में दिलचस्पी नहीं रखते। कमज़ोरियों के बारे में विशेषाधिकार प्राप्त खुफ़िया जानकारी रखने वाले डिफ़ेंसिव रिसर्चर्स के पास बचाने के लिए एक पैच-विंडो होती है — एक सिक्योरिटी CEO ने सार्वजनिक रूप से कहा कि उनकी टीम के पास एक काम करने वाला RCE है, पर वे उसे इसीलिए नहीं दिखाएंगे क्योंकि लोग जब तक पैच कर रहे हों, तब तक विवरण फैलाना असली नुकसान करेगा। दोनों समूहों ने एक ही हिसाब लगाया: सिक्के लेने की अपेक्षित कीमत पाँच सौ डॉलर है, और अपेक्षित लागत कहीं ज़्यादा कीमती चीज़ जलाना है। घाटे का सौदा। तो बिना दावेदार वाले इनाम का ईमानदार निष्कर्ष यह नहीं है कि “कोई एक्सप्लॉइट मौजूद ही नहीं है।” निष्कर्ष यह है कि “जिसके पास एक्सप्लॉइट है, वह गोपनीयता से ज़्यादा $500 को अहमियत नहीं देता।” ये बिल्कुल अलग निष्कर्ष हैं, और मुकदमे में सिर्फ़ एक ही था।

AI एजेंट की असलियत की जाँच

थ्रेड का सबसे मज़ेदार हिस्सा यह देखना था कि AI के दावे एक असली टारगेट से टकराकर कैसे बिखरे। एक कमेंटर ने इस चुनौती पर पाँच फ़्रंटियर मॉडल्स लगाए और नतीजे पोस्ट किए। दो मॉडल्स ने इसे एक वैध सार्वजनिक चुनौती माना — और वह थी भी — और काम पर लग गए। एक ने इसे साइबर सिक्योरिटी अनुरोध के रूप में चिह्नित किया और यूज़र को एक वेटिंग प्रोग्राम की ओर भेज दिया। एक ने साफ़ मना कर दिया। एक को जवाब देने से पहले ही प्रोवाइडर-साइड कंटेंट फ़िल्टर ने रोक दिया। यानी पाँच अत्याधुनिक सिस्टम्स में से सिर्फ़ दो ने कोशिश करने की हामी भरी, और शुरुआती दौर में किसी ने भी फ़्लैग नहीं निकाला।

यह मिला-जुला नतीजा किसी भी अति वाली राय से ज़्यादा मायने रखता है। “AI कभी कुछ हैक नहीं कर सकता” वाले लोग गलत हैं — मॉडल्स ने सच में हिस्सा लिया, और जाने-पहचाने कमज़ोरी वाले CTF-शैली के टारगेट्स पर एजेंटिक एक्सप्लॉइटेशन सचमुच बेहतर हो रहा है। लेकिन “स्वायत्त झुंड हर अनपैच्ड सर्वर खाली कर रहे हैं” वाले लोग कहीं ज़्यादा मज़बूत दावा कर रहे थे, और वही मज़बूत दावा एक सार्वजनिक, अनुमति-प्राप्त, नकद-पुरस्कृत हनीपॉट की कसौटी पर कसा जाता है। इसी बीच, एक जाने-माने पेनटेस्टिंग व्यक्तित्व ने दावा किया था कि उन्होंने दो घंटे में एक चैटबॉट से सामान्य काम करने वाला PoC बना लिया — और फिर, एक ऐसे संयोग में जिसका इससे कोई लेना-देना नहीं होगा, उन्होंने अपने AI पेनटेस्टिंग प्लेटफ़ॉर्म का प्रचार शुरू कर दिया। अगर वह दावा सही होता, तो टाइमर एक घंटे पहुँचने से पहले इनाम खत्म हो चुका होता। ऐसा नहीं हुआ। हमने यह पैटर्न पहले भी देखा है: डेमो और लीडरबोर्ड उन क्षमताओं को बढ़ा-चढ़ाकर दिखाते हैं जो असली काम से टकराते ही ढह जाती हैं, और यही वह खाई है जिसकी पड़ताल हमने AI बेंचमार्क असली काम का ज़्यादातर हिस्सा क्यों छोड़ देते हैं में की थी।

प्रयोग में धांधली हुई थी, इसका मामला

टाइमर को विज्ञान मानने से पहले एक तकनीकी आपत्ति है जिस पर गंभीरता से विचार करना चाहिए: हो सकता है कि ख़ास सर्वर कॉन्फ़िगरेशन उन CVEs से वास्तव में एक्सप्लॉइट योग्य ही न हो। एक तेज़ कमेंटर ने इसे समझाया — यह बॉक्स पारंपरिक CGI सेटअप की बजाय PHP का CLI सर्वर चलाता है, अनुरोधों को 1 MiB तक सीमित करता है, लगभग निष्क्रिय पेज परोसता है, और ऊँची मेमोरी लिमिट की अनुमति देता है। कमज़ोरियाँ किन code paths में मौजूद हैं, इसके आधार पर यह संयोजन वे प्रिमिटिव्स बंद कर सकता है जिनकी किसी एक्सप्लॉइट को ज़रूरत होती है। दूसरे शब्दों में, हनीपॉट इसलिए अजेय हो सकता है क्योंकि बग्स कठिन हैं, इसलिए नहीं — बल्कि इसलिए कि यह ख़ास मशीन कमज़ोर सतह को उजागर ही नहीं करती।

अगर यह सच है, तब भी प्रयोग उपयोगी है — यह उन कॉन्फ़िगरेशनों के लिए PoC कोशिशें इकट्ठा करता है जो सच में कमज़ोर हैं, और एक ऐसे दावे को गलत साबित करता है जो कहता है कि एक तुच्छ, सार्वभौमिक, हर जगह काम करने वाला एक्सप्लॉइट है। लेकिन यह असली दुनिया की तैनाती में काम करने वाले एक्सप्लॉइट के अस्तित्व को गलत साबित नहीं करता, जो ज़्यादातर किसी सख़्त CTF बॉक्स जैसे दिखते ही नहीं। सिक्योरिटी में नकारात्मक परिणामों के बारे में यही सामान्य सबक है: वे उतने ही मज़बूत होते हैं जितनी सटीक टेस्ट एनवायरनमेंट की फ़िडेलिटी होती है। सबूत की गैरमौजूदगी तभी अनुपस्थिति का सबूत होती है जब आप सही जगह पर सही औज़ारों के साथ देख रहे थे। टाइमर बस यह मापता है कि इंटरनेट में इस सर्वर को हैक करने की क्षमता कितनी है — और यह वह सवाल निकला जो सब बहस कर रहे थे, उससे कहीं संकरा और कहीं ज़्यादा दिलचस्प।

डिफ़ेंडर्स को असल में क्या सीखना चाहिए

इनमें से कुछ भी संतुष्ट होकर बैठने का तर्क नहीं है। PHP RCE रिलीज़ के बाद की पैच-विंडो सच में ख़तरनाक होती है — हमने लिखा था कि पिछली PHP CVE विंडो में चतुर फ़िक्स के बजाय प्लग खींचना क्यों बेहतर था, और वह सलाह आज भी कायम है। यह इनाम जो बदलता है वह है आपके डर का कैलिब्रेशन। पैच इसलिए कीजिए क्योंकि इंटरनेट-फ़ेसिंग RCEs अस्तित्व के लिए ख़तरा हैं, इसलिए नहीं कि किसी थ्रेड ने बताया कि आसमान पहले ही गिर रहा है।

• फ़ालसिफ़ायबिलिटी की माँग कीजिए। जब कोई दावा करे कि बड़े पैमाने पर एक्सप्लॉइटेशन चल रहा है, तो पूछिए कि कौन-सा सबूत उसे तय करेगा। टाइमर वाला सार्वजनिक हनीपॉट भले ही कच्चा हो, लेकिन हज़ार रीट्वीट्स से कहीं ज़्यादा सख़्त है।
• अपने कैनरी खुद चलाइए। एक कमेंटर ने बताया कि वे सालों से अपनी निजी मशीन पर एक बिना एन्क्रिप्ट किया Bitcoin वॉलेट एक ट्रिपवायर की तरह रखते हैं। Canary tokens, honey credentials और bait files सस्ते शुरुआती चेतावनी सिस्टम हैं, जो “क्या मैं कम्प्रोमाइज़ हो गया हूँ?” को वाइब्स वाले सवाल से टेलीमेट्री वाले सवाल में बदल देते हैं।
• प्रोत्साहनों को समझिए। कुशल हमलावर एक्सप्लॉइट जमा करके रखते हैं; शोर मचाने वाले कमेंटेटर डर को कमाई में बदलते हैं। दोनों समूहों के प्रोत्साहन आपकी सटीक ख़तरा-आकलन की ज़रूरत से मेल नहीं खाते, इसलिए कमेंट्री से ज़्यादा प्राथमिक टेलीमेट्री को वज़न दीजिए।
• दावों को अलग-अलग कीजिए। “एक्सप्लॉइट मौजूद है”, “एक्सप्लॉइटेशन हो रहा है” और “स्वायत्त एजेंट सब कुछ एक्सप्लॉइट कर रहे हैं” तीन अलग बयान हैं, जिनके सबूत के मानक भी अलग हैं। घबराहट इन्हें एक में मिला देती है। ऐसा मत होने दीजिए।
• फिर भी जल्दी पैच कीजिए। शांत हनीपॉट का मतलब शांत एक्सपोज़र नहीं है। आपके प्रोडक्शन बॉक्स $500 का इनाम नहीं दे रहे, और यही विडंबना उन्हें किसी ऐसे व्यक्ति के लिए और ज़्यादा आकर्षक टारगेट बनाती है जिसके पास काम करने वाला एक्सप्लॉइट है।

पूरे स्टंट की सबसे अच्छी बात यह है कि इसकी लागत लेखक के लिए लगभग कुछ भी नहीं थी और इससे असली संकेत मिला। एक VPS, एक कमज़ोर PHP बिल्ड, एक फ़्लैग बाइनरी और पाँच सौ डॉलर ने वह माप दिया जिसकी पूरी चर्चा को ज़रूरत थी। “एक्सप्लॉइट मौजूद है” और “एक्सप्लॉइट हर जगह है” के बीच की खाई में ही घबराहट पलती है — और अब उस खाई के बीच एक टाइमर चुपचाप गिनती कर रहा है, हर किसी को उसे पाटने की चुनौती देते हुए।