Linux中Bash发现重大安全漏洞修改方法
北京时间9月25日消息，Linux用户今天又得到了一个“惊喜”！Red Hat安全团队在 Linux 中广泛使用的Bash shell中发现了一个隐晦而危险的安全漏洞。该漏洞被称为“Bash Bug”或“Shellshock”。
当用户正常访问，该漏洞允许攻击者的代码像在Shell中一样执行，这就为各种各样的攻击打开了方便之门。而且，更糟糕的是，该漏洞已经在Linux中存在很长时间了，所以修补某个Linux机器很容易，但是要全部修补，几乎不可能实现。
Red Hat和Fedora已经发布了针对该漏洞的修补程序。该漏洞也会影响OS X，不过苹果公司尚未发布正式的修补程序。
这个Bash漏洞可能比Heartbleed更危险。
— — Robert Graham （@ErrataRob） 2014 年 9 月 24 日
Red Hat的Robert David Graham比较了该漏洞和Heartbleed，发现前者分布更广泛，有可能对系统安全带来长期影响。Graham在一篇博客文章中写道：“有大量的软件以某种方式与Shell交互，我们没有办法列举出受该漏洞影响的所有软件。”据The Verge报道，Berkeley ICSI的研究员Nicholas Weaver也同意这个说法：“它很隐晦、很可怕，并且会伴随我们多年。”
网络安全公司Rapid7工程部经理Tod Beardsley警告称，Bash漏洞的严重级别为“10”，这意味着它对用户电脑的威胁最大。Bash漏洞的利用复杂度级别为“低”，意味着黑客可以相对轻松地利用它发动攻击。
另外，网络安全公司Trail of Bits的CEO Dan Guido表示，“Heartbleed”漏洞能够允许黑客监控用户电脑，但不会取(www.111cn.net)得控制权。而利用Bash漏洞的方法也更简单——只需要剪切和粘贴一行代码即可。
据称，谷歌安全研究员Tavis Ormandy在Twitter上表示，Linux系统提供商推出的补丁似乎“并不完整”，这引发了几位安全专家的担忧。（责编/单明珠）
本文转载自Linux中国，原文出自The Verge，部分内容有删改。
目前，360安全中心应发布“Bash”漏洞测试方法，同时提醒广大网站和企业及时更新服务务器安全补丁，避免造成重大危险。
“Bash”漏洞测试方法
1）、本地测试
env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
2）、远程测试
首先用BASH写一个CGI
root@kali:/usr/lib/cgi-bin# cat bug.sh
#!/bin/bash
echo "Content-type: text/html"
echo ""
echo '<html>'
echo '<head>'
echo '<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">'
echo '<title>PoC</title>'
echo '</head>'
echo '<body>'
echo '<pre>'
/usr/bin/env
echo '</pre>'
echo '</body>'
echo '</html>'
exit 0
放到/usr/lib/cgi-bin里，然后用curl访问
能打印出环境变量了。说明能够正常访问了。下面反弹一个SHELL
访问看结果：
from:http://www.111cn.net/sys/linux/67041.htm
Linux中Bash发现重大安全漏洞修改方法的更多相关文章
- Linux中切换用户变成-bash4.1-$的解决方法【转】
转自 Linux中切换用户变成-bash4.1-$的解决方法 - xia_xia的博客 - 博客频道 - CSDN.NEThttp://blog.csdn.net/xia_xia0919/articl ...
- Linux中让alias设置永久生效的方法详解
Linux中让alias设置永久生效的方法详解 一.问题描述 1.有很多时候我们想要将很多操作作为一个步骤,那么在不作为系统的服务的情况下,别名是我们最好的选择,但是发现别名只能在一次会话中生效,重启 ...
- linux中增加swap分区文件的步骤方法
一.swap交换分区 Swap分区在系统的物理内存不够用的时候,把硬盘空间中的一部分空间释放出来,以供当前运行的程序使用.那些被释放的空间可能来自一些很长时间没有什么操作的程序,这些被释放的空间被临 ...
- linux中查找文件属于那个软件包的方法
一.linux中查找文件属于那个软件包的方法 [root@salt prod]# whereis htpasswdhtpasswd: /usr/bin/htpasswd /usr/share/man/ ...
- 杀死Linux中的defunct进程(僵尸进程)的方法指南
杀死Linux中的defunct进程(僵尸进程)的方法指南_LINUX_操作系统_脚本之家https://www.jb51.net/LINUXjishu/457748.html 这样能看到僵尸进程.
- linux中/etc/fstab文件删除或修改了，导致系统无法启动
在linux中,/etc/fstab文件是磁盘挂载的问题,若该文件不小心给修改了,或者被删除了,那么就会导致系统无法重启.因为/etc/fstab文件是记录磁盘挂载的信息,若该文件出现了问题,那么对应 ...
- 你应该掌握linux中Bash命令的一些快捷方式
在本文中,我们将分享许多对任何Linux用户都有用的Bash命令行快捷方式.这些快捷方式可以快速地执行某些动作,例如访问和运行先前执行的命令,打开编辑器,在命令行上编辑/删除/更改文本,移动光标,控制 ...
- Linux中bash编程
bash编程也叫shell编程 预定义变量 $? 最后一次执行的命令的返回状态.如果这个变量的值为0,证明上一个命令正确的执行:如果这个变量返回的值非0(具体是那个数,有命令自己来决定 ...
- linux中的文件编码及编码修改
查看文件编码 在Linux中查看文件编码可以通过以下几种方式: 1.在Vim中可以直接查看文件编码 :set fileencoding 即可显示文件编码格式. 如果你只是想查看其它编码格式的文件或者想 ...
随机推荐
- 【PAT】1029. Median (25)
Given an increasing sequence S of N integers, the median is the number at the middle position. For e ...
- 微信公共服务平台开发（.Net 的实现）9-------处理二维码
今天我们来共同学习一下微信公共服务平台中一个重要内容---二维码扫描.众所周知二维码目前应用范围很广,在这里不再叙述背景了,但是值得一提的是目前大家手机上面应用的二维码扫描工具是支持的都是QR码和PD ...
- 终端I/O之获得和设置终端属性
使用函数tcgetattr和tcsetattr可以获得或设置termios结构.这样也可以检测和修改各种终端选择标志和特殊字符,以使终端按我们所希望的方式进程操作. #include <term ...
- 分享10款常用的jQuery焦点图插件
爱编程一直在收集整理编程相关的知识和解决方案,今天小编为大家带来10款非常常用的jquery焦点图插件. 1.jQuery可自动播放动画的焦点图插件 之前我们已经分享过很多非常实用的jQuery焦点图 ...
- 如何在Linux下拷贝一个目录呢
cp -af newadmin/movie/. uploadfile/mallvideo/ 如何在Linux下拷贝一个目录呢?这好像是再简单不过的问题了. 比如要把/home/usera拷贝到/m ...
- 约瑟夫环问题及python与c++实现效率对比
约瑟夫环是一个数学的应用问题:已知n个人(以编号1,2,3...n分别表示)围坐在一张圆桌周围.从编号为k的人开始报数,数到m的那个人出列;他的下一个人又从1开始报数,数到m的那个人又出列;依此规律重 ...
- PHP｜开发必知的良好实践
过滤.验证.转义 所有这些外部资源都不能完全相信 $_GET $_POST $_REQUEST $_COOKIE $argv php://stdin php://input file_get_cont ...
- C# 使用GDI+绘制漂亮的MenuStrip和ContextMenuStrip皮肤
通过上面的效果截图可以看到,重绘后的MenuStrip和ContextMenuStrip可以添加自己的LOGO信息,实现了类似OFFICE2007的菜单显示效果. .NET对菜单控件的绘制提供了一个抽 ...
- 1.7.4.1 Function Queries-函数查询
1 . Function Queries 函数查询使你可以使用一个或者多个数字字段的实际的值生成一个关联的得分(score),函数查询支持DixMax,eDisMax,标准的查询解析. 函数查询使用函 ...
- UIWebView获得内容的高 高度自适应 宽度自适应
UIWebView获得内容的高-作出自适应高的UIWebView- (void)webViewDidFinishLoad:(UIWebView *)webView { NSString *height ...