[漏洞相關(guān)]bash的匿名函數(shù)在man page的哪部分有體現(xiàn)？

nswcfd

破殼漏洞（shellshock，http://drops.wooyun.org/papers/3268）利用了bash自身的一個(gè)漏洞，
其中涉及到'匿名'函數(shù) (其實(shí)也不是‘匿名’，只是語(yǔ)法上比較奇特)
varf='() { echo anoymous; }'
export varf
bash -c varf

問(wèn)題是，這部分內(nèi)容在bash的man pages里有體現(xiàn)么？
有沒(méi)有正式的文字說(shuō)明，bash在啟動(dòng)時(shí)遇到'() {'開(kāi)始的環(huán)境變量會(huì)解釋為函數(shù)？
源代碼里當(dāng)然有，我想知道這部分邏輯在man bash或者info bash里面有沒(méi)有體現(xiàn)，它是undocumented，還是documented？

yjh777

你測(cè)試用的 什么版本?

yjh777

RHEL-6 RHEL-7 試了一下, 發(fā)現(xiàn)沒(méi)有這個(gè)問(wèn)題;
    是代碼缺陷,而不是特性吧?

yjh777

找舊版本裝上, 復(fù)現(xiàn)了:    挺有意思的,  明顯是個(gè)bug;  bash 的qe怎么沒(méi)有測(cè)出來(lái)了呢

1. [root@hp-dl380pg8-14 ~]# VAR='() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"
   
2. Bash is vulnerable!
   
3. Bash Test
   
4. [root@hp-dl380pg8-14 ~]# HELLO="() { echo 'Hello'; }" bash -c HELLO
   
5. Hello
   
6. [root@hp-dl380pg8-14 ~]# LANG=C bash --version
   
7. GNU bash, version 4.0.28(1)-release (x86_64-redhat-linux-gnu)
   
8. Copyright (C) 2009 Free Software Foundation, Inc.
   
9. License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
   
10. 
    
11. This is free software; you are free to change and redistribute it.
    
12. There is NO WARRANTY, to the extent permitted by law.
    
13. [root@hp-dl380pg8-14 ~]# LANG=C rpm -qi bash-4.0.28-1.el6
    
14. Name        : bash                         Relocations: (not relocatable)
    
15. Version     : 4.0.28                            Vendor: Red Hat, Inc.
    
16. Release     : 1.el6                         Build Date: Wed Sep  2 04:27:56 2009
    
17. Install Date: Thu Jan 28 14:22:44 2016         Build Host: x86-001.build.bos.redhat.com
    
18. Group       : System Environment/Shells     Source RPM: bash-4.0.28-1.el6.src.rpm
    
19. Size        : 2641765                          License: GPLv2+
    
20. Signature   : (none)
    
21. Packager    : Red Hat, Inc. <http://bugzilla.redhat.com/bugzilla>
    
22. URL         : http://www.gnu.org/software/bash
    
23. Summary     : The GNU Bourne Again shell
    
24. Description :
    
25. The GNU Bourne Again shell (Bash) is a shell or command language
    
26. interpreter that is compatible with the Bourne shell (sh). Bash
    
27. incorporates useful features from the Korn shell (ksh) and the C shell
    
28. (csh). Most sh scripts can be run by bash without modification.
    
29. [root@hp-dl380pg8-14 ~]# HELLO="() { echo 'Hello'; }; echo fff" bash -c "echo kkk"
    
30. fff
    
31. kkk
    

復(fù)制代碼

ziyunfei

Bash文檔只會(huì)講export過(guò)的函數(shù)會(huì)被子進(jìn)程Shell繼承到，不會(huì)講具體的實(shí)現(xiàn)細(xì)節(jié)。
這個(gè)bug早就被修復(fù)了，即便是舊版本的Bash，也已經(jīng)打了補(bǔ)丁。
可以看看我的博客 cnblogs.com/ziyunfei/p/4828767.html

ydzcjj

樓上大神 。。。。。  學(xué)習(xí)一下

yjh777

多謝 5樓 分享; 原來(lái) export -f 實(shí)現(xiàn)版本之間有差異;

f=() {  echo f
}

通過(guò)在 function 的變量名里面加入 shell 變量不支持的符號(hào),避免了邏輯歧義:
BASH_FUNC_f()=() {  echo f
}

這樣用戶就沒(méi)有辦法在shell里面,通過(guò)自定義環(huán)境變量,來(lái)注入函數(shù)了.

nswcfd

回復(fù) 5# ziyunfei


一直沒(méi)有看過(guò)shell的實(shí)現(xiàn)，所以當(dāng)?shù)谝淮慰吹铰┒吹腜OC時(shí)感到很奇怪，怎么可以這樣去導(dǎo)出函數(shù)啊？（常規(guī)的方式是先定義再去export -f）

拋開(kāi)漏洞本身不談，環(huán)境變量里有“() {”表示函數(shù)（看代碼還必須有空格，即4個(gè)字符），估計(jì)這是一個(gè)“慣用用法”吧。

有沒(méi)有任何書(shū)面的資料在描述這個(gè)“慣用用法”？（稍微有些強(qiáng)迫癥 凡事都要找個(gè)出處……）

nswcfd

贊一下5樓的博客！

env可以看到export -f的結(jié)果，這樣的話就算沒(méi)有明確的文檔說(shuō)明，也是事實(shí)上的標(biāo)準(zhǔn)了。