[pwnable] shellshock

shellshock - 1 pt [writeup]

문제 화면

 

shellshock에 대한 개념과 원리를 먼저 알아보자.

 

 

shellshock (CVE-2014-6271)

출처 https://baobob1024.tistory.com/42

: GNU bash shell에서 환경변수를 통해 공격자가 원격으로 명령어를 실행할 수 있는 취약점

간단한 명령어만으로 시스템을 장악할 수 있어 shellshock취약점은 CVSS 등급 10점을 받았다.

 

▷ 함수처럼 보이는 변수(환경변수)를 정의할 때 발생하는 취약점

환경변수에 함수를 정의하는 방법

$ x() { echo abcd; }

환경 변수에 함수 정의 / -f 옵션을 통해 함수를 환경 변수에 등록

위의 사진과 같이 export의 -f(function) 옵션으로 환경변수에 함수를 등록하고 함수(x)를 호출하면 함수 안의 내용을 확인할 수 있다.

 

shellshock의 원리

• Bash의 환경 변수에 함수처럼 보이는 변수를 정의한다.
• 함수처럼 보이는 변수 -> 함수문법으로 시작되는 내용( '() {로 시작되는 변수')을 적어서 정의해준다. (속임수)
• 함수처럼 보이는 환경변수에 세미콜론과 명령어들을 추가해주고 bash subshell을 실행하면 함수로 정의되면서 뒤에 있는 명령어들까지 실행된다.

ex)

$ export x='() { echo abcd;};pwd;id'
// pwd : 현재의 자기가 위치한 경로를 보여 주는 명령어
// id : 자신의 uid와 gid를 보여주는 명령어

 

이제 문제를 살펴보자.

 

ssh shellshock@pwnable.kr -p2222 (pw: guest)를 입력해서 접속에 성공했다.

 

 

ls -al을 사용해서 존재하는 파일과 디렉토리 내용을 출력했다.

flag가 있는 걸 확인할 수 있고, shellshock.c라는 파일이 있어서 확인해보았다.

 

 

 

#include <stdio.h>
int main(){
	setresuid(getegid(), getegid(), getegid());
	setresgid(getegid(), getegid(), getegid());
	system("/home/shellshock/bash -c 'echo shock_me'");
	return 0;
}

setresuid, setresgid라는 함수가 있는 걸 확인했다.

* SET Real uid, Effective uid, Saved set-User-ID

• 프로세스의 "real UID", "effective UID", "saved set-user-ID"를 변경하는 함수

--> 해당 함수가 현재 동작 중인 프로세스의 권한을 변경하는 기능을 한다는 걸 알게 되었다.

실행결과와 함께 위의 코드를 분석해보자

bash -c (-c : 명령어 실행 옵션)를 통해 'echo shock_me'를 실행하는 코드이다.

 

 

이전에 살펴본 shellshock 취약점의 원리를 이용해서 환경변수로 함수를 선언한 다음 명령어를 통해 flag를 열어보고자 한다.

flag를 열려면 cat명령어를 사용해야하고, 그 전에 flag가 있는 곳으로 위치를 이동시켜야 한다.

따라서 다음과 같이 입력해주고 shellshock코드를 실행해주었다.

flag 획득