TA的每日心情 | 奋斗
2024-1-28 01:36 |
|---|
签到天数: 14 天 [LV.3]偶尔看看II
荣誉会员
- 积分
- 495
|
本站资源全部免费,回复即可查看下载地址!
您需要 登录 才可以下载或查看，没有帐号？立即注册
x
课程简介:
Shellshock，又称Bashdoor，是在Unix中广泛使用的Bash shell中的一个安全漏洞，首次于2014年9月24日公开。许多互联网守护进程，如网页服务器，使用bash来处理某些命令，从而允许攻击者在易受攻击的Bash版本上执行任意代码。这可使攻击者在未授权的情况下访问计算机系统。
漏洞原因: 目前的Bash使用的环境变量是通过函数名称来调用的,导致漏洞出问题是以“() {”开头定义的环境变量在命令ENV中解析成函数后,Bash执行并未退出,而是继续解析并执行shell命令。而其核心的原因在于在输入的过滤中没有严格限制边界,也没有做出合法化的参数判断。
验证方法:
目前的Bash脚本是以通过导出环境变量的方式支持自定义函数，也可将自定义的Bash函数传递给子相关进程。一般函数体内的代码不会被执行，但此漏洞会错误的将“{}”花括号外的命令进行执行。当执行CGI 时会调用Bash将Referer、host、UserAgent、header等作为环境变量进行处理。
本地检测
在Bash Shell下执行以下代码:
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
如果输出:
vulnerable
this is a test
表示存在漏洞。
下载地址:
|
温馨提示：
1、本站所有内容均为互联网收集或网友分享或网络购买,本站不破解、不翻录任何视频!
2、如本帖侵犯到任何版权问题，请立即告知本站，本站将及时予与删除并致以最深的歉意!
3、本站资源仅供本站会员学习参考,不得传播及用于其他用途,学习完后请在24小时内自行删除.
4、本站资源质量虽均经精心审查,但也难保万无一失,若发现资源有问题影响学习请一定及时点此进行问题反馈,我们会第一时间改正!
5、若发现链接失效了请联系管理员,管理员会在2小时内修复
6、如果有任何疑问,请加客服QQ:1300822626 2小时内回复你!
|
发表于 2024-2-2 01:00:12
发表于 2024-2-2 06:46:47
