KBash – GNU Bash环境变量命令执行 Google 批量扫描
在为无法定位自己公司哪些机器受到此次漏洞影响？我们发现有一款开源项目可以帮助你使用Google快速发现存在漏洞的主机！
CVE-2014-6271
GNU Bash 4.3及之前版本对环境变量的处理过程中存在漏洞，环境变量值中可加入攻击字符，以执行shell命令。某些存在漏洞的服务可直接导致远程命令执行。
看这个漏洞闹得这么沸沸扬扬，于是应景写了一个简单的基于Google搜索结果的批量执行脚本。利用思路比较简单。大牛们有啥好玩的利用方法，欢迎交流共享。
参与项目：http://github.com/KxCode/kbash
README: http://github.com/KxCode/kbash/blob/master/README.md
Tips： 针对http的URL进行利用时，由于设置为忽略证书校验，会打印一个WARNING，可无视之。
Features
支持代理。
自定义命令。
自定义谷歌关键字。
多线程。
防谷歌屏蔽。
精确扫描。
另外提供一处在线验证“破壳”漏洞的站点：http://shellshock.brandonpotter.com/
厉害。。。支持 C:\Python27>python kbash.py -h
Traceback (most recent call last):
File "kbash.py", line 1, in <module>
import urllib2, requests, socket, urlparse
ImportError: No module named requests
C:\Python27> Joewm 发表于 2014-9-28 05:08
C:\Python27>python kbash.py -h
Traceback (most recent call last):
File "kbash.py", line 1, in
缺少request库 自己下载安装吧
页:
[1]