草庐IT

bash - CVE-2014-7169如何工作？测试代码明细

coder 2023-06-16 原文

bash版本已为shellshock修补

$ bash --version
GNU bash, version 3.2.52(1)-release (x86_64-apple-darwin12)
Copyright (C) 2007 Free Software Foundation, Inc.

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

另一个similar exploit still works并已分配给CVE-2014-7169
$ env X='() { (a)=>\' bash -c "echo date"; cat echo
bash: X: line 1: syntax error near unexpected token `='
bash: X: line 1: `'
bash: error importing function definition for `X'
Thu Sep 25 12:47:22 EDT 2014

$ ls echo
echo

寻找这个细分。

最佳答案

错误

CVE-2014-7169是bash解析器中的错误。 Bash的解析器使用变量eol_ungetc_lookahead跨行ungetc字符。无法从reset_parser函数正确重置该变量，例如，关于一些语法错误。使用该错误，可以在下一个bash输入行的开头插入一个字符。

因此，测试代码使用(a)=或function a a强制出现语法错误，将重定向字符添加到下一行>的前面，并添加行延续\，这导致测试代码的任一版本:

() { (a)=>\
() { function a a>\

当执行bash时，它将处理环境中的变量，发现变量X是导出的函数，并对其求值以导入该函数。但是评估失败，并出现解析错误，将>字符保留在eol_ungetc_lookahead变量中。然后，在解析命令参数echo date时，它会在>字符前加前缀，从而导致>echo date，后者将运行date重定向到名为echo的文件。

与上一个错误的关系

上面的错误显然与原始的shellshock错误非常不同。实际上有几个问题:
  • Bash完全评估一个看起来像导出函数的变量(以四个字符() {开头)。 CVE-2014-6271。
  • 在某些情况下，可以将字符插入到ungetc变量中，该变量将添加到下一个输入行中。 CVE-2014-7169。
  • Bash允许将每个环境变量都视为导出函数，只要它以四个字符() {开头即可。 CVE-2014-6271，CVE-2014-7169，以及在bash的解析器中触发错误的所有其他CVE。
  • 此处文档重定向的堆栈有限，并且不检查溢出。 CVE-2014-7186，这会导致内存损坏，并且可能可以利用它执行任意代码。
  • 嵌套控制结构(select/for/while)的堆栈有限，并检查溢出。该堆栈仍然损坏。 CVE-2014-7187。

    • 修复
  • first patch将bash限制为评估每个看起来像导出函数的变量中的单个函数定义。
  • second patch可以将eol_ungetc_lookahead正确重置为reset_parser。
  • third patch更改了函数的导出方式:现在将它们导出到名为BASH_FUNC_functionname%%的变量中。

    • 攻击面

    这里最大的问题是每个环境变量都可以用作攻击的 vector 。通常，攻击者无法控制任意环境变量，否则已经存在其他已知的攻击(请考虑LD_PRELOAD，PATH，IFS，...)。
    sudo不受影响，因为它从环境中剥离了导出的bash函数，如Gilles on security.SE所述。
    ssh受到影响。典型的sshd安装仅允许按照sshd_config中 AcceptEnv 中的配置导出有限的环境变量集，例如LANG和LC_*。即使采用这种激进的白名单方法，在Shellshock中，任何变量都可能成为攻击 vector 。

    不仅每个环境变量都是潜在的攻击媒介，而且它们暴露了> 6000行的解析器。

    重新学习的教训
    system，popen和其他潜在危险。您不仅应该注意它们的参数:即使在编译时固定了参数，环境也是潜在的攻击媒介。最好在干净的环境中使用fork()/execve()(但至少将环境限制在白名单变量中，最好对其值进行完整性检查)。请记住，质量好的系统可以实现预期的功能，而安全的系统可以实现而已，而仅此而已。调用成熟的shell会使执行操作变得更加困难。

    复杂性是安全的大敌。这些天来，您可以轻松找到推荐简单 shell 的人们。通过完全不支持导出的功能，大多数shell不受shellshock的影响。相反，bash多年来已经获得了许多安全功能(您需要使用-p调用它，以避免它在启动时失去特权，它使IFS变得干净，...)，所以不要以为我主张使用交换shell，这更具一般性建议。

    David Wheeler的古老“Linux和UNIX HOWTO安全编程” chapter on environment variables的某些摘录仍然值得重读。

    §5.2.3¶1:

    For secure setuid/setgid programs, the short list of environment variables needed as input (if any) should be carefully extracted. Then the entire environment should be erased, followed by resetting a small set of necessary environment variables to safe values. There really isn't a better way if you make any calls to subordinate programs; there's no practical method of listing ``all the dangerous values''.



    §5.2.3¶6:

    If you really need user-supplied values, check the values first (to ensure that the values match a pattern for legal values and that they are within some reasonable maximum length).

    关于bash - CVE-2014-7169如何工作？测试代码明细，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/26083528/

    bash2014codebrexploitshellshock-bash-bug

    有关bash - CVE-2014-7169如何工作？测试代码明细的更多相关文章

    1. ruby - 如何使用 Nokogiri 的 xpath 和 at_xpath 方法 - 2

      我正在学习如何使用Nokogiri，根据这段代码我遇到了一些问题:require'rubygems'require'mechanize'post_agent=WWW::Mechanize.newpost_page=post_agent.get('http://www.vbulletin.org/forum/showthread.php?t=230708')puts"\nabsolutepathwithtbodygivesnil"putspost_page.parser.xpath('/html/body/div/div/div/div/div/table/tbody/tr/td/div

    2. ruby - 如何从 ruby​​ 中的字符串运行任意对象方法？ - 2

      总的来说，我对ruby​​还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用

    3. python - 如何使用 Ruby 或 Python 创建一系列高音调和低音调的蜂鸣声？ - 2

      关闭。这个问题是opinion-based.它目前不接受答案。想要改进这个问题？更新问题，以便editingthispost可以用事实和引用来回答它.关闭4年前。Improvethisquestion我想在固定时间创建一系列低音和高音调的哔哔声。例如:在150毫秒时发出高音调的蜂鸣声在151毫秒时发出低音调的蜂鸣声200毫秒时发出低音调的蜂鸣声250毫秒的高音调蜂鸣声有没有办法在Ruby或Python中做到这一点？我真的不在乎输出编码是什么(.wav、.mp3、.ogg等等)，但我确实想创建一个输出文件。

    4. ruby-on-rails - 由于 "wkhtmltopdf"，PDFKIT 显然无法正常工作 - 2

      我在从html页面生成PDF时遇到问题。我正在使用PDFkit。在安装它的过程中，我注意到我需要wkhtmltopdf。所以我也安装了它。我做了PDFkit的文档所说的一切......现在我在尝试加载PDF时遇到了这个错误。这里是错误:commandfailed:"/usr/local/bin/wkhtmltopdf""--margin-right""0.75in""--page-size""Letter""--margin-top""0.75in""--margin-bottom""0.75in""--encoding""UTF-8""--margin-left""0.75in""-

    5. ruby-on-rails - 如何验证 update_all 是否实际在 Rails 中更新 - 2

      给定这段代码defcreate@upgrades=User.update_all(["role=?","upgraded"],:id=>params[:upgrade])redirect_toadmin_upgrades_path,:notice=>"Successfullyupgradeduser."end我如何在该操作中实际验证它们是否已保存或未重定向到适当的页面和消息？ 最佳答案 在Rails3中，update_all不返回任何有意义的信息，除了已更新的记录数(这可能取决于您的DBMS是否返回该信息)。http://ar.ru

    6. ruby-on-rails - 'compass watch' 是如何工作的/它是如何与 rails 一起使用的 - 2

      我在我的项目目录中完成了compasscreate.和compassinitrails。几个问题:我已将我的.sass文件放在public/stylesheets中。这是放置它们的正确位置吗？当我运行compasswatch时，它不会自动编译这些.sass文件。我必须手动指定文件:compasswatchpublic/stylesheets/myfile.sass等。如何让它自动运行？文件ie.css、print.css和screen.css已放在stylesheets/compiled。如何在编译后不让它们重新出现的情况下删除它们？我自己编译的.sass文件编译成compiled/t

    7. ruby - 如何将脚本文件的末尾读取为数据文件(Perl 或任何其他语言) - 2

      我正在寻找执行以下操作的正确语法(在Perl、Shell或Ruby中):#variabletoaccessthedatalinesappendedasafileEND_OF_SCRIPT_MARKERrawdatastartshereanditcontinues. 最佳答案 Perl用__DATA__做这个:#!/usr/bin/perlusestrict;usewarnings;while(){print;}__DATA__Texttoprintgoeshere 关于ruby-如何将脚

    8. ruby - 如何在 buildr 项目中使用 Ruby 代码？ - 2

      如何在buildr项目中使用Ruby？我在很多不同的项目中使用过Ruby、JRuby、Java和Clojure。我目前正在使用我的标准Ruby开发一个模拟应用程序，我想尝试使用Clojure后端(我确实喜欢功能代码)以及JRubygui和测试套件。我还可以看到在未来的不同项目中使用Scala作为后端。我想我要为我的项目尝试一下buildr(http://buildr.apache.org/)，但我注意到buildr似乎没有设置为在项目中使用JRuby代码本身!这看起来有点傻，因为该工具旨在统一通用的JVM语言并且是在ruby中构建的。除了将输出的jar包含在一个独特的、仅限ruby​​

    9. ruby - 如何指定 Rack 处理程序 - 2

      Rackup通过Rack的默认处理程序成功运行任何Rack应用程序。例如:classRackAppdefcall(environment)['200',{'Content-Type'=>'text/html'},["Helloworld"]]endendrunRackApp.new但是当最后一行更改为使用Rack的内置CGI处理程序时，rackup给出“NoMethodErrorat/undefinedmethod`call'fornil:NilClass”:Rack::Handler::CGI.runRackApp.newRack的其他内置处理程序也提出了同样的反对意见。例如Rack

    10. ruby-on-rails - Rails 源代码 : initialize hash in a weird way? - 2

      在rails源中:https://github.com/rails/rails/blob/master/activesupport/lib/active_support/lazy_load_hooks.rb可以看到以下内容@load_hooks=Hash.new{|h,k|h[k]=[]}在IRB中，它只是初始化一个空哈希。和做有什么区别@load_hooks=Hash.new 最佳答案 查看rubydocumentationforHashnew→new_hashclicktotogglesourcenew(obj)→new_has

    随机推荐