shell shock 执行漏洞分析
来源:互联网 发布:js将数字转换成日期 编辑:程序博客网 时间:2024/05/13 16:34
该漏洞相关报道:
- http://www.freebuf.com/news/44805.html
- http://www.csoonline.com/article/2687265/application-security/remote-exploit-in-bash-cve-2014-6271.html
测试
在Bash Shell下执行以下代码:env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
如果输出:vulnerable
this is a test
表示存在漏洞。打了补丁会输出以下错误:bash: 警告: x: ignoring function definition attempt
bash: `x' 函数定义导入错误
this is a test
原理分析
Shell里可以定义变量,POC中定义了一个命名为x的变量,内容是一个字符串:() { :;}; echo vulnerable
而根据漏洞信息得知,这个漏洞产生于Shell在处理函数定义时,执行了函数体之后的命令。但这里x的值是个字符串,它是怎么转变成函数的呢。
实际这个和Bash实现有关,在Bash中定义一个函数,格式为:function function_name() {
body;
}
当Bash在初始化环境变量时,语法解析器发现小括号和大括号的时候,就认为它是一个函数定义:[lu4nx@lx-pc ~]$ say_hello='() { echo hello world; }'
[lu4nx@lx-pc ~]$ export say_hello
[lu4nx@lx-pc ~]$ bash -c 'say_hello'
hello world
上面代码在新的Bash进程中,say_hello
成了新环境中的一个函数,它的演变过程如下:
1、新的bash在初始时,扫描到环境变量say_hello
出现小括号和大括号,认定它是一个函数定义
2、bash把say_hello
作为函数名,其值作为函数体
typeset命令可以列出当前环境中所有变量和函数定义,我们用typeset看看这个字符串怎么变成函数的。继续上面定义的say_hello
函数:[lu4nx@lx-pc ~]$ bash -c 'typeset' | fgrep -A 10 say_hello
say_hello ()
{
echo hello world
}
这里新启动了个Bash进程,然后执行了typeset,typeset会返回当前环境(新的环境)中所有定义,这里清楚看到say_hello被变成函数了。
漏洞产生原因
而这个漏洞在于,Bash把函数体解析完了之后,去执行了函数定义后面的语句,为啥会这样呢。
通过结合补丁,我对Bash的源码简单分析了下,Bash初始化时调用了builtins/evalstring.c
里的parse_and_execute
函数。是的,就等于Bash初始化环境时调用了类似其他高级语言中的eval
函数,它负责解析字符串输入并执行。
继续看parse_and_execute
的源码,关键点在这里:218 else if (command = global_command)
219 {
220 struct fd_bitmap *bitmap;
它判断命令是否是一个定义成全局的,新的bash进程启动后,say_hello
不仅被解析成函数了,还变成全局的了:[lu4nx@lx-pc data]$ bash -c 'typeset -f'
say_hello ()
{
echo hello world
}
declare -fx say_hellodeclare
命令是Bash内置的,用来限定变量的属性,-f表示say_hello
是一个函数,-x参数表示say_hello
被export成一个环境变量,所以这句话的意思是让say_hello
成了全局有效的函数。
其实Bash本身其实是想在启动时初始环境变量以及定义一些函数,而初始的方式就是去把 变量名=值
这样的赋值语句用eval去执行一次,如果出现了函数定义,就把它转变成函数,除此之外就不想让它干其他的了,可偏偏它在扫描到函数定义时,把它转变成函数的过程中不小心执行了后面的命令,这其实不是eval的错,这是做语法解析时没考虑严格,所以补丁加了这么一句话来判断函数体合法性:
if ((flags & SEVAL_FUNCDEF) && command->type != cm_function_def)
补充
另外,很多人疑惑POC里{ :; }
这句中的冒号和分号,分号作为结束符,而冒号的意思是什么也不做,类似Python里的pass
,具体看Bash官方文档。
- shell shock 执行漏洞分析
- Shock!!!
- shock。。。
- php远程执行漏洞分析
- 最新IE远程代码执行漏洞分析
- Bash 3.0-4.3命令执行漏洞分析
- Joomla远程代码执行漏洞分析
- 格式化字符串漏洞执行任意代码分析
- Maccms8.x 命令执行漏洞分析
- ImageMagick远程代码执行漏洞分析
- shell脚本执行过程分析
- 【漏洞分析】流行开源电子邮件程序Roundcube v1.2.2命令执行漏洞分析
- Struts2(s2-016)远程代码执行漏洞详细代码分析
- Struts2远程代码执行漏洞分析(S2-013)
- ElasticSearch远程任意代码执行漏洞(CVE-2014-3120)分析
- Struts2远程命令执行漏洞分析及防范
- 网银安全控件远程代码执行漏洞分析
- Struts2 S2 – 032远程代码执行漏洞分析报告
- VB.NET机房收费 & 抽象工厂模式
- [Java]Java学习笔记(三)——类的基本语法(二)
- poj3233矩阵快速幂运算
- IT之路的迷茫阶段
- Java设计模式-4-创建者模式
- shell shock 执行漏洞分析
- VB.NET机房收费 & 初感受
- C++ 中 i++ 与 ++i 的本质区别
- 关于栈的几道面试题目
- 数学(hdu5175Misaki's Kiss again)
- 浅谈三层架构(2)
- 【主机规划与磁盘分区】 磁盘分区 MBR
- C# 委托 事件
- 浅谈三层架构(1)