信息安全 SEED Lab2 Shellshock Attack

1. Task 1

这部分主要是要求你设计一个小实验看shell是不是有shellshock这个漏洞，我们可以使用下面的命令：

foo="() { echo "hello"; }; echo "extra";"
export foo

1. 有漏洞shell版本

运行结果如下，可以看到运行了后面的echo命令输出extra，也存在函数foo的定义

 

2. 无漏洞shell版本:

运行结果如下，可以看到未运行后面的echo命令输出extra，也没有函数foo的定义

 

结论: 用上面的命令可以判断shell是否存在shellshock漏洞

 

2. Task 2

这部分主要写一个 cgi 脚本，并未涉及到攻击

主要是在 /usr/lib/cgi-bin 下创建一个 cgi 脚本 并配置好权限及测试。

1. 有漏洞shell版本

cgi脚本内容如下：

#!/bin/bash_shellshock

echo "Content-type: text/plain"
echo
echo
echo "H