搜索

[20837] 2017-08-01_Bash通过特殊环境变量进行代码注入攻击

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-08-01_Bash通过特殊环境变量进行代码注入攻击 B a s h   通 过 特 殊 环 境 变 量 进 行 代 码 注 入 攻 击 L e m o n S e c   2 0 1 7 - 0 8 - 0 1 B a s h   或 B o u r n e   a g a i n   s h e l l ， 是 一 个 类 U N I X   s h e l l   脚 本 ， 可 能 是 任 何 L i n u x 系 统 中 最 常 见 的 安 装 组 件 。 从 1 9 8 0 年 诞 生 到 现 在 ， b a s h 已 经 从 一 个 简 单 的 基 于 终 端 的 命 令 解 释 器 演 进 到 诸 多 其 他 的 奇 特 用 途 。 在 L i n u x 中 ， 环 境 变 量 影 响 着 系 统 软 件 。 它 们 都 是 由 一 个 名 称 和 对 名 称 的 赋 值 构 成 。 b a s h   s h e l l 也 是 如 此 。 在 程 序 后 台 运 行 b a s h s h e l l 很 常 见 。 通 常 用 于 向 远 程 用 户 提 供 一 个 s h e l l （ 例 如 通 过 s s h , t e l n e t ） ， 为 C G I 脚 本 提 供 解 析 器 ( 例 如 A p a c h e ) ， 甚 至 提 供 有 限 的 命 令 执 行 支 持 （ 例 如 g i t ） 。 回 到 主 题 ， 你 可 以 在 调 用 b a s h   s h e l l 前 使 用 特 殊 加 工 的 值 创 建 环 境 变 量 ， 这 个 事 实 暴 露 了 系 统 的 脆 弱 。 这 些 变 量 可 以 包 含 代 码 ， 随 着 s h e l l 调 用 执 行 。 这 些 加 工 过 的 变 量 名 并 没 有 什 么 ， 主 要 是 它 们 的 内 容 。 在 以 下 的 语 境 中 ， 脆 弱 暴 露 无 遗 ： F o r c e C o m m a n d 是   s s h d 中 使 用 的 环 境 变 量 ， 它 向 远 程 用 户 提 供 有 限 的 命 令 执 行 权 限 。 这 个 缺 陷 可 以 被 绕 过 并 提 供 任 意 的 命 令 执 行 权 限 。 一 些 G i t 和 S u b v e r s i o n 部 署 使 用 这 样 的 s h e l l 。 O p e n S S H 的 常 规 使 用 不 受 影 响 ， 因 为 用 户 已 经 进 入 了 s h e l l 。 如 果 C G I 脚 本 使 用 b a s h 或 者 产 生 大 量 的 子 s h e l l ， 使 用 m o d _ c g i 或 m o d _ c g i d 的 A p a c h e 服 务 器 将 收 到 影 响 。 这 些 子 s h e l l 可 能 被 C 语 言 的 s y s t e m / p o p e n 使 用 ， 可 能 被 P y t h o n 的 o s . s y s t e m / o s . p o p e n 使 用 ， 可 能 被 运 行 在 C G I 模 式 下 的 P H P 的 s y s t e m / e x e c 使 用 ， 可 能 被 使 用 s h e l l 的 P e r l 中 的 o p e n / s y s t e m 使 用 . 执 行 m o d _ p h p 的 P H P 脚 本 即 使 大 量 产 生 子 s h e l l 也 不 会 收 到 影 响 。   D H C P 客 户 端 调 用 s h e l l 脚 本 以 配 置 系 统 ， 使 用 来 自 潜 在 的 恶 意 服 务 器 的 值 。 这 将 允 许 任 意 的 命 令 运 行 ， 尤 其 作 为 D H C P 客 户 机 上 的 r o o t . 各 式 各 样 的 守 护 进 程 和 S U I D / 特 权 程 序 可 能 使 用 用 户 设 置 以 及 被 用 户 影 响 的 环 境 变 量 执 行 s h e l l 脚 本 ， 可 允 许 任 意 的 命 令 运 行 。 任 意 可 能 陷 入 s h e l l 险 境 的 其 他 应 用 ， 或 是 运 行 s h e l l 脚 本 将 b a s h 作 为 解 释 器 的 应 用 。 不 引 入 环 境 变 量 的 s h e l l 脚 本 是 安 全 的 ， 即 使 它 们 处 理 不 安 全 的 内 容 并 存 储 在 ( 不 引 入 的 ) s h e l l 变 量 里 并 打 开 子 s h e l l 。 和 编 程 语 言 一 样 ， B a s h 也 有 函 数 ， 尽 管 是 有 限 的 实 现 ， 这 些 b a s h 函 数 可 能 放 入 环 境 变 量 中 。 这 个 缺 陷 在 这 些 环 境 变 量 内 部 的 函 数 定 义 尾 部 附 加 额 外 的 代 码 时 触 发 。 像 这 样 : $   e n v   x = ' ( )   {   : ; } ;   e c h o   v u l n e r a b l e '   b a s h   - c   " e c h o   t h i s   i s   a   t e s t "   v u l n e r a b l e   t h i s   i s   a   t e s t 补 丁 修 复 了 这 个 缺 陷 ， 确 保 b a s h 函 数 的 尾 部 不 允 许 额 外 的 代 码 。 所 以 如 果 你 用 打 过 补 丁 的 b a s h 版 本 运 行 上 面 这 个 例 子 ， 应 该 得 到 类 似 这 样 的 输 出 ：   $   e n v   x = ' ( )   {   : ; } ;   e c h o   v u l n e r a b l e '   b a s h   - c   " e c h o   t h i s   i s   a   t e s t "   b a s h :   w a r n i n g :   x :   i g n o r i n g   f u n c t i o n   d e f i n i t i o n   a t t e m p t   b a s h :   e r r o r   i m p o r t i n g   f u n c t i o n   d e f i n i t i o n   f o r   ` x '   t h i s   i s   a   t e s t 我 们 相 信 这 不 应 该 影 响 任 何 的 向 后 兼 容 。 它 当 然 会 影 响 使 用 如 上 所 述 创 建 的 环 境 变 量 的 任 何 脚 本 ， 但 这 么 做 会 被 认 为 是 糟 糕 的 编 程 实 践 。 R e d   H a t 的 安 全 问 题 报 告 修 复 了 R e d   H a t 企 业 版 L i n u x 的 这 个 问 题 。 F e d o r a 也 运 送 了 问 题 修 复 包 。 G i t l a b - s h e l l   受 受   B a s h   C V E - 2 0 1 4 - 6 2 7 1   漏 洞 影 响 漏 洞 影 响   今 天   U S - C E R T   公 布 了 一 个 严 重 的   B a s h   安 全 漏 洞   ( C V E - 2 0 1 4 - 6 2 7 1 )   ， 该 漏 洞 同 时 也 影 响   O p e n S S H   守 护 进 程 。 而   G i t l a b   服 务 器 默 认 的   g i t   账 号 就 是 使 用   B a s h   用 来 执 行 远 程 的 代 码 。 攻 击 者 只 要 有   S S H   k e y   就 可 以 利 用 这 个 漏 洞 在   G i t l a b   服 务 器 执 行 任 意 代 码 。 检 测 服 务 器 是 否 存 在 这 个 漏 洞 的 方 法 ： s s h   g i t @ g i t l a b . e x a m p l e . c o m   ' ( )   {   i g n o r e d ;   } ;   / u s r / b i n / i d ' 如 果 输 出 下 面 内 容 表 示 服 务 器 存 在 此 漏 洞 ： u i d = 1 0 0 1 ( g i t )   g i d = 1 0 0 1 ( g i t )   g r o u p s = 1 0 0 1 ( g i t ) 如 果 你 看 到 的 是   N o t   a l l o w e d   c o m m a n d   说 明 不 存 在 此 漏 洞 。
解 决 办 法 是 升 级   B a s h 。 解 决 完 请 再 通 过 上 述 代 码 测 试 是 否 存 在 漏 洞 。 你 也 可 以 将   s h e l l   改 为   c s h ， 安 装 ： s u d o   a p t - g e t   i n s t a l l   c s h 如 果 你 正 在 使 用   o m n i b u s - g i t l a b ,   只 需 要 将 下 面 一 行 代 码 添 加 到   / e t c / g i t l a b / g i t l a b . r b   文 件 然 后 运 行   s u d o   g i t l a b - c t l   r e c o n f i g u r e   即 可 : u s e r [ ' s h e l l ' ]   =   ' / b i n / c s h ' 如 果 你 是 通 过 源 码 方 式 安 装 ， 可 使 用 如 下 命 令 来 更 改   s h e l l ： s u d o   c h s h   - s   / b i n / c s h   g i t 再 次 测 试 看 看 漏 洞 是 否 解 决 。 解 决 办 法 是 升 级 解 决 办 法 是 升 级   B a s h U S - C E R T   意 识 到   B a s h   存 在 一 个 安 全 的 漏 洞 ， 该 漏 洞 直 接 影 响 基 于   U n i x   的 系 统 （ 如   L i n u x 、 O S   X   等 ） 。 该 漏 洞 将 导 致 远 程 攻 击 者 在 受 影 响 的 系 统 上 执 行 任 意 代 码 。 U S - C E R T   建 议 用 户 和 管 理 员 重 新 检 查 这 篇 红 帽 的 安 全 博 客 。 更 多 的 详 情 只 能 参 考 相 应   L i n u x   发 行 商 以 获 取 相 应 补 丁 。 你 可 以 使 用 如 下 命 令 来 检 查 系 统 存 在 此 漏 洞 ： e n v   x = ' ( )   {   : ; } ;   e c h o   v u l n e r a b l e '   b a s h   - c   " e c h o   t h i s   i s   a   t e s t " 受 影 响 的 系 统 包 括 ： C e n t O S D e b i a n R e d h a t U b u n t u 红 帽 系 可 通 过 更 新   b a s h   并 重 启 系 统 来 解 决 这 个 问 题 ： #   y u m   u p d a t e   b a s h 或 者 ： #   y u m   u p d a t e   b a s h - 4 . 1 . 2 - 1 5 . e l 6 _ 5 . 1 此 举 只 是 更 新 了   b a s h   包 ， 还 需 要 重 启 系 统 才 能 生 效 。 U b u n t u   用 户 可 以 通 过 如 下 命 令 打 补 丁 ， 无 需 重 启 ： a p t - g e t   u p d a t e a p t - g e t   i n s t a l l   b a s h
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理