Linux再曝安全漏洞Bash 比“心脏出血”还严重
2014年9月25日消息：一个被指比“心脏出血”还要严重的Linux安全漏洞被发现，尽管还没有发现利用该漏洞进行的攻击，但是比“心脏出血”更低的操作门槛让它比前者更加危险。
Bash是用于控制Linux计算机命令提示符的软件。网络安全公司Trail of Bits的首席执行官丹·吉多表示：与“心脏出血”只允许黑客窥探计算机，但不会让黑客获得计算机的控制权。Bash漏洞则不一样，黑客可以利用它对目标计算机系统进行完全控制。
更糟的是，利用Bash漏洞的方法更加简单，只要直接剪切和粘贴一行软件代码，就能取得效果。如此低的门槛可能会吸引来更多的黑客进行攻击，这也是安全专家担心的地方。
为了避免您Linux服务器受影响，建议您尽快完成漏洞修补，修复方法如下
漏洞检测命令：env x=‘() { :;}; echo vulnerable‘ bash -c "echo this is a test"
若显示：
vulnerable
this is a test 则漏洞未修复
若显示：
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x‘
this is a test 则漏洞已修复
漏洞修复命令：yum update bash -y
附：网上还有一条漏洞检测命令：env -i X=‘() { (a)=>\‘ bash -c ‘echo date‘; cat echo
输出结果中见到"date"字样就修复成功了
我的服务器是centos6.5 显示如下：
[dy@web115 ~]$ env x=‘() { :;}; echo vulnerable‘ bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x‘
this is a test 显示结果表明我修复成功了！
[dy@web115 ~]$ env -i X=‘() { (a)=>\‘ bash -c ‘echo date‘; cat echo
bash: X: line 1: syntax error near unexpected token `=‘
bash: X: line 1: `‘
bash: error importing function definition for `X‘
Sat Sep 27 19:25:36 CST 2014 显示结果表明我未修复成功！（因为没有出现date）
服务器已重启，那我到底是修复成功还是不成功呢？？？？？？？
相关链接：http://www.linuxidc.com/Linux/2014-09/107176.htm
本文出自 “青春邓勇” 博客，请务必保留此出处http://dengyong.blog.51cto.com/8409869/1558852
原文地址：http://dengyong.blog.51cto.com/8409869/1558852
