当前位置：首页 > news >正文

Shellshock漏洞与永恒之蓝(WannaCry)勒索病毒深度分析

news 来源：原创 2025/6/10 16:49:42

Shellshock漏洞与永恒之蓝(WannaCry)勒索病毒深度分析

Shellshock漏洞分析

漏洞概述

Shellshock（又称Bashdoor）是2014年9月发现的GNU Bash shell中的一系列严重安全漏洞，包括：

CVE-2014-6271：初始漏洞，允许通过特制环境变量执行任意命令
CVE-2014-7169：初始补丁不完整导致的后续漏洞，允许文件写入和系统操作

技术原理

CVE-2014-6271

Bash在处理环境变量时存在缺陷，当环境变量值以函数定义开头时，函数定义后的命令也会被执行：

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

漏洞输出：

vulnerable
this is a test

安全版本输出：

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for 'x'
this is a test

CVE-2014-7169

初始补丁未能完全解决问题，攻击者仍可利用此漏洞进行文件操作：

env X='() { (a)=>\' bash -c "echo date"; cat echo

漏洞输出：

sh: X: line 1: syntax error near unexpected token `='
sh: X: line 1: `'
sh: error importing function definition for `X'
[当前日期时间]

影响范围

几乎所有基于Linux/Unix的系统（包括macOS）
使用Bash作为系统shell的设备（如路由器、IoT设备）
通过CGI、SSH、DHCP等调用Bash的服务

漏洞验证方法

CVE-2014-6271验证：

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

CVE-2014-7169验证：

env X='() { (a)=>\' bash -c "echo date"; cat echo

修复方案

各系统修复命令：

CentOS/RHEL：
```
yum update bash
```

Ubuntu/Debian：

apt-get update && apt-get install --only-upgrade bash

macOS（需安装Homebrew）：
```
brew update && brew upgrade bash
```

临时缓解措施：

将默认shell更改为非Bash shell（如dash）
禁用或限制使用Bash的CGI脚本

永恒之蓝与WannaCry勒索病毒分析

漏洞概述

永恒之蓝(EternalBlue)是利用Windows SMBv1协议漏洞(MS17-010)的攻击工具，2017年被Shadow Brokers公开。基于此漏洞传播的WannaCry勒索病毒在2017年5月造成全球性破坏。

技术原理

MS17-010漏洞：
- SMBv1协议在处理特殊构造的请求时存在缓冲区溢出
- 允许远程代码执行，无需用户交互
- 影响所有未打补丁的Windows系统
WannaCry传播机制：
- 扫描内网和外网的445端口(SMB服务)
- 利用永恒之蓝漏洞传播自身
- 加密用户文件并勒索比特币赎金
- 包含"Kill Switch"域名机制

影响范围

操作系统：
- Windows XP至Windows 10
- Windows Server 2003至2016
影响规模：
- 全球150多个国家受影响
- 超过20万台电脑感染
- 包括医院、企业和政府机构

检测方法

主动检测

补丁检查：
- Windows 7：检查KB4012212
- Windows Server 2003：检查KB4012598
工具扫描：
- Microsoft提供的MS17-010检测工具
- Nessus、OpenVAS等漏洞扫描器

被动检测

网络流量分析：
```
tcp.port == 445
```
观察异常的SMB连接请求
主机异常检查：
- 异常的tasksche.exe进程
- 随机名称的服务(如mssecsvc2.0)
- 文件被加密为.WNCRY扩展名

处置方案

已感染主机处置

立即隔离：
- 断开网络连接
- 不要支付赎金（无法保证文件恢复）
清除病毒：
- 终止恶意进程(tasksche.exe)
- 删除随机名称的服务
- 清除注册表项
- 格式化重装系统（推荐）
阻断传播：
- 内网DNS解析www.iuqerfsodpgifaposdfihgosurijfaewrwergwea.com
- 防火墙屏蔽445端口

未感染主机防护

补丁修复：
- 立即安装MS17-010补丁
- 离线补丁包下载

系统加固：

# 禁用SMBv1
Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol# 防火墙规则
New-NetFirewallRule -DisplayName "Block SMB445" -Direction Inbound -LocalPort 445 -Protocol TCP -Action Block