各發行版修復指令

修復前後驗證對比

圖 1：Debian 修補前檢測顯示 VULNERABLE

圖 2：CentOS 修補前檢測顯示 VULNERABLE

圖 3：Debian 修補後不再輸出 VULNERABLE

圖 4：CentOS 修補後不再輸出 VULNERABLE

緊急緩解策略 (無法立即更新時)

1. 更換預設 Shell

# 安裝替代 shell
apt install dash zsh fish  # 或對應套件管理器

# 修改關鍵服務 Shebang
# #!/bin/bash  →  #!/bin/dash  (dash 不受影響)
# 或系統層面 (謹慎)
# dpkg-reconfigure dash  # Debian/Ubuntu 設定 /bin/sh 指向 dash

2. 限制 Bash 使用場景

• 停用不必要的 CGI 腳本
• SSH ForceCommand 改用內建命令或編譯二進制
• Web 伺服器 mod_cgi 避免傳遞用戶輸入至環境變數

3. WAF/IDS 規則攔截

# ModSecurity 規則範例
SecRule REQUEST_HEADERS|REQUEST_BODY|ARGS_NAMES|ARGS_VALUES \
  "()\s*{" "id:1000001,phase:2,block,msg:'Shellshock Attack Attempt'"

4. 編譯安裝修補版本 (源碼級)

wget https://ftp.gnu.org/gnu/bash/bash-5.2.tar.gz
tar xzf bash-5.2.tar.gz
cd bash-5.2
./configure --prefix=/usr --bindir=/bin --without-bash-malloc
make -j$(nproc)
make install
# 需極度謹慎，可能破壞系統相容性

自動化掃描與合規檢查

#!/bin/bash
# shellshock_scan.sh - 掃描主機 Bash 版本與漏洞狀態

check_host() {
    local host=$1
    ssh "$host" '
        bash_version=$(bash --version | head -1)
        vuln1=$(env x="() { :;}; echo VULN" bash -c "echo test" 2>/dev/null | grep -c VULN)
        vuln2=$(env X="() { (a)=>\'" bash -c "echo date" 2>/dev/null | grep -c date)
        echo "$(hostname)|$bash_version|CVE-2014-6271:$vuln1|CVE-2014-7169:$vuln2"
    '
}

# 批量掃描
for host in server{1..50}; do
    check_host "$host" &
done
wait

長期防護建議

1. 自動化修補：配置 unattended-upgrades (Debian/Ubuntu) 或 dnf-automatic (RHEL/Fedora) 確保安全更新及時應用
2. 最小化 Bash 暴露：腳本用 #!/bin/sh (指向 dash)、避免 CGI 使用 Bash
3. 容器化隔離：舊版應用容器化運行，宿主機保持最新
4. 供應鏈安全：基礎鏡像定期重建、掃描 CVE
5. 事件響應預案：包含 Bash 版本檢查、環境變數審計、異常進程監控

歷史影響回顧

• 影響範圍：全球超過 70% Linux/Unix 伺服器、嵌入式設備、Mac OS X、路由器、IoT 設備
• 著名攻擊：Mayhem 殭屍網絡、CloudFlare 記錄的大規模掃描、雅虎伺服器被入侵
• CVSS 10.0 (滿分)：遠程執行、無需認證、低複雜度、廣泛影響

小結

Shellshock 是「環境變數傳遞代碼」這一設計缺陷的極端體現。核心防禦只有一條：**立即更新 Bash 至修補版本**。輔以最小化暴露面、WAF 規則、自動化合規掃描。十年過去，仍有舊系統在運行易受攻擊的 Bash，**定期掃描、持續修補**是唯一正解。