Bash漏洞檢測

2014-09-26 01:34 PM

9/24 US-CERT、RedHat及多家資安業者揭露一則消息：Bash 存在嚴重安全漏洞。

Bash Shell 從 2004 年 7 月起存在一個安全漏洞，允許環境變數設定指令夾帶惡意指令被一併執行。當今世界上運作中的 Linux / *nix 系統（連 Mac OS 也算）的數量驚人，甚至在你料想不到的裝置裡也有個 Linux 默默工作著（除了智慧型手機外，許多電視機上盒、網路攝影機裡面也住著一隻小企鵝），它在我們的生活周遭幾乎已是無所不在，故評估這個漏洞影響範圍頗大。不過，較大的被攻擊風險主要來自 CGI 網站介面（是的，CGI! 清朝最流行的網站開發技術）送入惡意指令，滿足特定條件才具有高度風險，不用過度恐慌。

RedHat 資安部落格提供了一個簡單的測試指令：

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
 vulnerable
 this is a test

若出現 vunlerable 字樣，表示 Bash 有漏洞!

 $ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
 bash: warning: x: ignoring function definition attempt
 bash: error importing function definition for `x'
 this is a test

若出現 warning 及 error 訊息，表示 Bash 已是被修補過的版本，Safe!

好奇兼手癢，就找了手邊的 Linux 系統測試，第一開刀的是恰巧擺在桌上的新玩具 Raspberry Pi：