CTFHub Web进阶-PHP：Bypass_disable_function通关2之shellshock（CVE-2014-6271）

本文详细讲解CTFHub的Web进阶中disable-functions的shellshock关卡的原理(CVE-2014-6271)与渗透全流程。主要内容包括：1) ShellShock漏洞原理，通过putenv设置恶意环境变量并调用error_log触发Bash子进程执行命令；2) 使用蚁剑工具自动化漏洞利用流程，包括连接Webshell、使用Bypass插件、生成代理脚本等；3) 两种实战方法：手动构造环境变量脚本和蚁剑disablefunction插件，最终通过执行系统命令获取flag。该技术成功突破了PHP的安全限制，实现了系统命令执行。

一、shellshock绕过

1、shellshock绕过核心原理

shellshock绕过在于利用Bash破壳漏洞（CVE-2014-6271）。

Bash 漏洞简介：ShellShock是一个存在于Bash shell中的高危漏洞。该漏洞的成因是Bash在解析以(){开头定义的环境变量时，会错误地将花括号{}外的命令一并执行。简单来说，攻击者可以通过精心构造的环境变量，在Bash进程中执行任意命令。
与PHP的关联：在PHP中，有些函数（例如mail()或error_log()）在执行时会启动新的子进程，并且这些子进程可能会调用Bash。这就为我们利用ShellShock漏洞提供了条件。
利用链条：
- 我们通过PHP的putenv()函数，设置一个特殊的环境变量。这个环境变量的值遵循特定的格式，例如：() { :; }; /readflag > /tmp/flag.txt。其中，() { :; };是用来触发Bash解析的"炮弹"，而其后跟随的/readflag > /tmp/flag.txt则是我们真正要执行的系统命令。
- 设置好环境变量后，我们调用一个能派生Bash子进程的PHP函数，比如error_log()。当这个函数执行时，会启动子进程，如果该子进程加载了存在漏洞的Bash，我们预设的恶意命令就会被执行。
- 这样，我们就成功地绕过了PHP的disable_functions限制，因为实际的命令执行发生在PHP之外的Bash进程中。

简单来说，整个过程就是：通过putenv设置恶意环境变量触发ShellShock漏洞，然后利用error_log()等函数启动子进程来执行系统命令。

2、使用蚁剑进行 ShellShock 绕过

蚁剑（AntSword） 是一款强大的Webshell管理工具，它集成了Bypass disable_function的插件，可以自动化上述过程。以下是具体步骤。

连接Webshell：使用蚁剑成功连接到目标网站的Webshell。
检查限制与寻找可用函数：
- 连接成功后，尝试在虚拟终端里执行命令（如whoami），可能会发现命令无法执行。
- 此时，你需要查看phpinfo信息，确认disable_functions列表，并留意putenv和error_log（或mail）函数是否可用。同时，需要确保目标系统的/bin/bash存在CVE-2014-6271漏洞，并且/bin/sh链接到/bin/bash。
使用 Bypass Disable Functions 插件：
- 在蚁剑中，找到并加载"Bypass Disable Functions"插件。
- 选择 ShellShock 模式。根据目标环境，选择合适的进程函数，如果mail不可用，就选择error_log。
- 点击"开始"按钮执行。插件会自动完成以下工作：
  - 在服务器上生成并上传利用脚本，该脚本会通过putenv设置恶意的环境变量并调用error_log函数来触发漏洞。
  - 在网站目录下生成一个代理脚本（例如.antproxy.php），这个脚本用于后续的代理连接。
重新连接并获取Flag：
- 使用蚁剑重新连接新生成的代理脚本的URL。
- 连接成功后，现在你应该可以在蚁剑的虚拟终端中正常执行系统命令了。
- 执行读取flag的命令（例如tac /flag），即可成功获取flag。

二、绕过渗透实战

本关卡与上一关卡方法几乎一样，只是编码器选择base64编码

1、打开靶场

http://challenge-73bf2a9c7b96d5f7.sandbox.ctfhub.com:10800/

2、源码分析

这道CTF题目考察利用ShellShock（CVE-2014-6271）漏洞绕过PHP的disable_function限制。题目通过eval函数提供代码执行入口，但关键系统命令函数已被禁用。攻击原理基于Bash Shell的解析漏洞——当Bash处理环境变量时，会执行函数定义后面多余的命令。通过putenv()设置恶意环境变量（如() { :; }; /bin/bash -c '执行的命令'），再调用仍可运行的system()、mail()等能够触发Bash子进程的PHP函数，即可利用ShellShock漏洞将PHP代码执行转化为系统命令执行，成功突破安全限制获取服务器控制权。

CTFHub Bypass disable_function —— ShellShock

本环境来源于AntSword-Labs

<!DOCTYPE html>
<html>
<head>
<title>CTFHub Bypass disable_function —— ShellShock</title>
<meta charset="UTF-8">
</head>
<body>
<h1>CTFHub Bypass disable_function —— ShellShock</h1>
<p>本环境来源于<a href="https://github.com/AntSwordProject/AntSword-Labs">AntSword-Labs</a></p>
</body>
</html>
<?php
@eval($_REQUEST['ant']);
show_source(__FILE__);
?>