Steal My Bitcoin: CTF Bobol Server Hadiah $500

Steal My Bitcoin bikin tantangan hacking terbuka dengan hadiah Bitcoin senilai sekitar $500 buat yang berhasil membobol servernya. Target utamanya adalah mengeksekusi binary print-flag lewat celah keamanan PHP lama sebelum patch PHP2SHELL. Semua aktivitas di server dicatat dan bisa dipantau attacker lain, jadi wajib ekstra waspada saat uji coba. Siapa cepat dia dapat sebelum wallet dikuras tuntas.

Mengenal Layanan & Gambaran Teknis

CTF (Capture The Flag) publik berbasis web server PHP sengaja dibuat rentan. Private key dompet Bitcoin disembunyikan di server dan cuma bisa dibuka lewat binary lokal 'print-flag' oleh user PHP.

Panduan Langkah Demi Langkah

1. Langkah 1: Buka situs stealmybitcoin.com lewat browser untuk melihat status wallet Bitcoin dan durasi server bertahan tanpa kena hack.
2. Langkah 2: Cek alamat wallet target di block explorer untuk memastikan saldo reward Bitcoin (~$500) masih utuh belum diambil orang lain.
3. Langkah 3: Lakukan analisa celah pada endpoint PHP yang aktif, fokus pada vulnerability PHP versi lawas sebelum era CVE PHP2SHELL.
4. Langkah 4: Dapatkan Remote Code Execution (RCE — akses eksekusi perintah sistem) dengan hak akses akun PHP di server tersebut.
5. Langkah 5: Jalankan file binary 'print-flag' dari shell user PHP untuk mencetak private key wallet Bitcoin.
6. Langkah 6: Segera sweep atau transfer saldo dari private key tersebut ke wallet Bitcoin pribadi milikmu.

Persyaratan & Kesiapan

• Kemampuan web penetration testing, exploit chain PHP, dan Linux privilege execution.
• Tools pentest dasar (Burp Suite, curl, payload generator/terminal shell).
• Wallet Bitcoin pribadi untuk transfer reward jika berhasil.

Tips Optimalisasi

• Fokus teliti CVE lawas seputar PHP wrapper, upload bypass, atau fungsi eksekusi sebelum PHP2SHELL.
• Otomatiskan script sweep balance Bitcoin agar tidak keduluan bot hacker lain saat key terbongkar.

Mitigasi Risiko & Keamanan

• Server bersifat publik dan dipantau attacker lain; payload dan IP publikmu berisiko bocor ke publik.
• Jangan pernah masukkan private key pribadi, data kredensial asli, atau info rahasia ke target.

Kesimpulan & Catatan Penting

Tantangan CTF real-money menarik buat uji skill exploit PHP di server hidup. Hadiah $500 langsung lenyap begitu hacker pertama sukses trigger binary dan narik asetnya.