Shellshock kwetsbaarheid online controleren
Gepubliceerd: Artem Prysyazhnuk 2014-06-12 alle artikelen | Woordenlijst | FAQHoe werkt het?
Het is ontwikkeld voor een Linux-server waarop een webserver is geïnstalleerd. Het algoritme is zeer eenvoudig. We genereren consequent 4 http requests:
- 1. Gewoon verzoek
- 2. Het verzoek probeert, met behulp van vulneratility, een "harmful" cookie te plaatsen die 2 seconden vertraging veroorzaakt in het antwoord op onze speciale http verzoek.
- 3. Het verzoek probeert, met behulp van vulneratility, een "harmful" cookie te plaatsen die 4 seconden vertraging veroorzaakt in het antwoord op onze speciale http verzoek.
- 4. Hetzelfde als #3
Hoe begrijp ik het resultaat?
We vergelijken de reactietijd voor de 4 verzoeken. Er zijn drie situaties mogelijk:
- 1. Kwetsbaarheid gevonden. We kunnen bevestigen dat als het verschil in antwoorden ongeveer 2 seconden is voor verzoeken zonder cookie en met 2-seconden vertragende cookie, en voor verzoeken met 2- en 4-seconden vertragende cookie. Het betekent dat ons verzoek gebruik heeft kunnen maken van de kwetsbaarheid en deze cookies heeft geplaatst.
- 2. Kwetsbaarheid niet gevonden. Alle verzoeken hebben ongeveer dezelfde reactietijd. De cookies zijn waarschijnlijk niet geïnstalleerd omdat er geen kwetsbaarheid is.
- 3. Onzekere situatie. Als de responstijd sterk afwijkt, zonder samenloop met de door cookies ingestelde vertraging, kunnen we het niet met zekerheid zeggen. Het kan zijn dat de server onder hoge belasting staat. Om dit te controleren, gebruiken we twee verzoeken met dezelfde cookies (#3 en #4). Als de responstijd voor twee dezelfde controles varieert, concluderen we dat de responstijd niet wordt beïnvloed door cookies. Tenminste, niet alleen door hen. Dus in dit geval kan onze methode geen kwetsbaarheid detecteren
Veiligheid van controles
Onze test kan uw server niet beschadigen. Het risico bestaat uit het verschijnen van een extra cookie, die alleen wordt gebruikt voor onze verzoeken en die de normale werking van uw site niet kan beïnvloeden.
Over de auteur
Artem Prysjazhnuk
CEO en oprichter van HostTracker LTD. Hij is een gepassioneerde ondernemer met een sterke technische achtergrond in F#. Artem werkt al meer dan 20 jaar in de softwareontwikkelingsindustrie.