보안 업계에는 오래전부터 '실제 돈을 걸어두고 뚫어보라'는 형태의 도전이 존재해 왔다. 'Steal My Bitcoin(stealmybitcoin.com)'도 그 계보에 속하는 PHP 보안 챌린지다. 운영자는 자신의 서버에 약 500달러 상당의 비트코인 키를 숨겨두었고, 이 키를 가장 먼저 꺼내 지갑을 차지하는 사람이 그 금액을 가져간다고 밝혔다. 돈이 필요 없다면 givewell.org 같은 곳에 기부하는 것을 고려해 달라는 안내까지 덧붙여, 단순한 상금 경쟁 이상의 성격을 띠게 했다.
이 챌린지의 핵심 설계는 두 가지 사실에 압축되어 있다. 첫째, 숨겨진 비트코인 키는 PHP 사용자 계정 권한으로 실행할 수 있는 'print-flag'라는 바이너리를 통해 접근 가능하다. 둘째, 서버에 올라간 PHP는 이른바 'PHP2SHELL' CVE들이 공개되기 이전 버전으로 선택되었다. 즉 운영자는 이미 알려진 취약점이 그대로 살아 있는 환경을 의도적으로 구성해 두고, 공격자가 그 경로를 재현해 서버에서 코드 실행 권한을 얻은 뒤 해당 바이너리를 호출해 키를 읽어내도록 판을 짠 셈이다.
왜 '오래된 PHP 버전'이 핵심인가
실무자 입장에서 가장 눈여겨볼 대목은 '패치 이전 버전을 일부러 썼다'는 점이다. 대부분의 심각한 서버 침해는 알려지지 않은 제로데이가 아니라, 공개된 지 오래됐는데도 적용되지 않은 패치에서 비롯된다. 이 챌린지는 바로 그 현실을 게임의 규칙으로 못 박았다. CVE가 공개되면 공격 코드와 분석 자료가 뒤따라 유통되고, 취약 버전을 그대로 운영하는 서버는 사실상 공개된 설계도를 손에 든 공격자 앞에 노출된다. 운영자가 특정 버전을 명시적으로 지목했다는 것은, 공격자에게 '어디를 보면 되는지'를 알려주면서도 실제 익스플로잇 구현과 환경 적응은 각자의 몫으로 남겨두었다는 의미다.
또 하나 주목할 구조는 권한 분리다. 키 자체를 평문 파일로 두지 않고 print-flag라는 바이너리를 거치도록 한 설계는, 단순히 파일을 읽는 것과 '특정 실행 권한을 확보하는 것'을 분리한다. PHP 사용자 계정으로 임의 코드를 실행할 수 있게 된 뒤에야 그 바이너리를 호출할 수 있다는 조건은, 웹 애플리케이션 취약점에서 시작해 서버 내부의 실행 권한으로 이어지는 전형적인 침해 사슬을 축소판으로 보여준다. 실제 운영 환경에서도 공격자는 웹셸을 얻은 뒤 곧바로 데이터나 자격증명에 접근하는 경우가 많기 때문에, 이 구조는 현실적인 공격 흐름을 모사한다.
실무적으로 읽어야 할 지점
방어하는 쪽에서 이 챌린지가 던지는 교훈은 분명하다. 인터넷에 노출된 PHP 런타임과 그 위에서 돌아가는 애플리케이션은 버전 관리 그 자체가 보안 통제라는 점이다. 알려진 CVE에 대한 패치 적용 주기를 짧게 가져가고, 노출면을 줄이며, 웹 프로세스가 접근할 수 있는 바이너리와 파일의 권한을 최소화하는 것은 교과서적이지만 여전히 가장 효과적인 방어다. 특히 웹 서비스 계정이 실행할 수 있는 바이너리 목록을 점검하고, 민감한 비밀값을 해당 계정이 직접 읽지 못하도록 격리하는 설계는 침해가 발생하더라도 피해를 가두는 역할을 한다.
다만 이 도전을 과대 해석할 필요는 없다. 공개된 정보만으로는 어떤 CVE가 쓰였는지, 어떤 PHP 버전인지, print-flag 바이너리가 어떤 조건을 요구하는지 등 구체적인 기술 세부는 드러나 있지 않다. 500달러라는 상금 규모도 최상급 실력자를 대거 끌어들일 만큼 크다고 보기는 어렵고, '선착순 1인'이라는 규칙상 일단 지갑이 비워지면 챌린지로서의 수명도 끝난다. 또한 이런 형태의 공개 도전은 통제된 실험 환경일 때 의미가 있으며, 여기서 익힌 기법을 허가받지 않은 시스템에 적용하는 것은 전혀 다른 영역의 불법 행위라는 점은 분명히 구분해야 한다.
결국 'Steal My Bitcoin'은 기술적 깊이를 자랑하는 대회라기보다, 패치되지 않은 구버전이 얼마나 실질적인 위험인지를 돈이라는 직관적인 단위로 보여주는 전시물에 가깝다. 알려진 취약점이 방치된 서버는 그 안에 든 자산만큼의 현상금이 걸린 것과 다르지 않다는 메시지가, 이 간결한 챌린지가 실무자에게 남기는 가장 또렷한 지점이다.