bash漏洞利用

2014年9月24号，漏洞利用我还在睡懒觉。漏洞利用手机震了十几次，漏洞利用全是漏洞利用同行发来的消息——Shellshock，一个存在了25年的漏洞利用bash漏洞，可以让攻击者在任何运行bash的漏洞利用机器上执行任意代码。那天早上，漏洞利用全球至少有5亿台设备暴露在风险中，漏洞利用从Web服务器到路由器，漏洞利用从Mac电脑到物联网设备，漏洞利用无一幸免。漏洞利用

这个漏洞的漏洞利用利用方式极其简单。你不需要什么高深的漏洞利用黑客技巧，只需要在HTTP请求头里塞一段精心构造的漏洞利用字符串。比如，漏洞利用向一个使用CGI的网站发送：User-Agent: () { :; }; /bin/rm -rf /。就这么几行字符，服务器就会乖乖执行你想要的命令。我至今记得第一次在测试环境复现时的那种震惊——太粗暴了，粗暴到让人怀疑是不是哪里搞错了。

问题出在bash处理环境变量的方式上。bash允许在环境变量中定义函数，但解析时有个致命的缺陷：它会在函数定义结束后，继续解析后面的字符串并当作命令执行。这个逻辑漏洞在1989年就被写入代码，直到2014年才被安全研究员Stéphane Chazelas发现。25年，这个后门一直存在于几乎每个Linux发行版、每个苹果系统、每台网络设备里。

实际利用的场景比想象中更危险。当时很多企业用bash作为CGI脚本的解释器，攻击者只需要向Web服务器发送一个恶意请求，就能获得服务器的控制权。更麻烦的是，这个漏洞可以通过各种途径触发——DHCP客户端、SSH服务器、邮件服务器，只要调用了bash处理外部输入的地方，都是攻击面。我有个朋友当时在托管机房工作，他说那天下午他们紧急排查了上千台服务器，有些机器已经被植入了挖矿程序，CPU占用率飙到100%。

修复过程也很有意思。官方补丁出来之后，安全社区发现补丁本身也有问题——修复不完整，攻击者仍然可以通过精心构造的字符串绕过防护。于是又出了第二个补丁，然后第三个。整个十月份，运维圈都在追着补丁跑。这事情给所有人上了一课：看似基础的工具，一旦出问题，影响范围远超预期。

现在回看Shellshock，它留下的不只是技术教训。它提醒我们，代码的寿命往往比我们预期的长得多。写bash的那批程序员可能早就退休了，但他们写的代码还在运行，还带着当年的缺陷。安全不是一次性的审计，而是持续对抗时间的过程。你永远不知道哪段老代码里，藏着下一个25年的定时炸弹。