Shellshock爆發(fā)，“心血漏洞”卷土重來

本文作者： Longye

2014-09-26 02:43

導語：一個新的漏洞在昨天被發(fā)現(xiàn)，它代號“ Shellshock”（安全實驗室翻譯其中文名為“破殼”），屬高危漏洞，被安全人士一致認為影響范圍可以與今年4月份出現(xiàn)的“心臟出血/Heartbleed ”漏洞相比。

一個新的漏洞在昨天被發(fā)現(xiàn)，它代號“ Shellshock”（安全實驗室翻譯其中文名為“破殼”），屬高危漏洞，被安全人士一致認為影響范圍可以與今年4月份出現(xiàn)的“心臟出血/Heartbleed ”漏洞相比。

產(chǎn)生“ Shellshock”漏洞的程序叫做bash。

這是一個比OpenSSL還要古老的開源程序，它正式誕生至今已有25年。bash屬于命令行程序，你可以類比于Windows下的“cmd”，但它的功能還要強大。簡單的說，bash是Linux系統(tǒng)的“命令行”桌面之一，通過向它輸入指令，你才能操作電腦。

bash的市場占有率極高。它內(nèi)置在世界上絕大多數(shù)Linux及UNIX系統(tǒng)內(nèi)，并是大多數(shù)Linux、v10.4以上的OS X、移植到Windows平臺的Cygwin等系統(tǒng)的默認Shell，也就是前邊所說的“命令行”桌面。

通過“ Shellshock”漏洞，黑客可以遠程完全控制該系統(tǒng)。

“ Shellshock”利用了bash環(huán)境變量的不當處理漏洞，它可以引發(fā)惡意類型的遠程執(zhí)行代碼。換句話說，借助這個漏洞，黑客可以非常隱蔽的在系統(tǒng)中執(zhí)行命令，從而有可能獲取最高權(quán)限。360安全研究員redrain表示，只要這臺設(shè)備在公網(wǎng)內(nèi)，就可以利用“ Shellshock”。

目前追溯到bash受影響的范圍，從v1.13到最新的v4.3，幾乎涉及它公開發(fā)布的所有版本。

“ Shellshock”對網(wǎng)站服務(wù)器、物聯(lián)網(wǎng)產(chǎn)品、工控設(shè)備等影響非常大。

目前來看，Windows用戶基本不受影響，因為沒安裝bash；Mac用戶默認預(yù)裝了bash，還需要等待蘋果官方的回應(yīng)，目前實測最新版存在此漏洞；互聯(lián)網(wǎng)網(wǎng)站可能會有大范圍受影響，目前國內(nèi)已經(jīng)出現(xiàn)第一起利用實例；采用Linux核心的物聯(lián)網(wǎng)和工控設(shè)備同樣非常容易受到攻擊。

目前狀況

bash在昨天下午推出一版安全更新，但據(jù)說并未完全解決漏洞，還有利用方法。國內(nèi)多家安全機構(gòu)正在研究這一漏洞，預(yù)計近兩天會有漏洞的詳細分析出來。不過鑒于絕大多數(shù)工控以及物聯(lián)網(wǎng)設(shè)備并不注重安全，這次受影響的是bash的所有版本，老舊設(shè)備可能無法得到更新，它的影響會更深遠。

雷鋒網(wǎng)將持續(xù)關(guān)注此事。

附：安天實驗室給出了一個驗證漏洞的方法，在命令行/shell中執(zhí)行下面命令：