¿Cómo saber si el sitio de otra persona es vulnerable a Shellshock sin hackearlo?

3

Con la tarjeta de registro en la mano, ayer fui a registrar una herramienta eléctrica recién comprada. Pero cuando llegué al sitio del fabricante, me recibió una antigua interfaz propia que tenía la marca "Copyright (C) 2004" y se parecía a HTML 1.0. El intento de conectarse a través de https produjo un certificado TLS no válido y no tuvo acceso a la página. La URL de registro redirigida se parecía mucho a " enlace " Todo apestaba a vulnerabilidades sin parches, pero el administrador del sitio respondió a mi consulta y me aseguró que su sistema de registro de garantía de Oracle era seguro. (No importa que una máquina Oracle no sea nombrada "apache".)

Decidí que ser propietario de una herramienta de gasolina no registrada con cuchillas giratorias gigantes era más seguro que confiarles mi nombre y mi dirección. Ni siquiera les estoy enviando la tarjeta de pospago en el correo postal, porque no veo ninguna evidencia de seguridad al final.

Pero lo que realmente quiero saber es si hay una manera para que pueda evaluar su sitio sin realmente atacarlos, o si hay alguien que ofrezca un "Servicio de pruebas de Shellshock", o un sitio u otro organismo confiable que permita yo sé si están parcheados a los niveles actuales o no.

    
pregunta John Deters 01.10.2014 - 20:40
fuente

1 respuesta

6

Con Heartbleed, es posible un escaneo definitivo: solicite una respuesta de latido que sea un byte demasiado grande, y vea si la recibe; un resultado negativo significa que el servidor no es vulnerable. Esto prueba la biblioteca OpenSSL directamente y realiza exactamente las mismas operaciones que realizaría un atacante.

Esto no es posible con "shellshock": el bash shell nunca se expone directamente a Internet. Cualquier escaneo es indirecto, al llamar a un programa CGI y ver si se ejecuta la carga útil del ataque, por lo que un escaneo que arroja un resultado negativo podría deberse a que el servidor ha sido parchado (no es vulnerable), o porque usa un shell de sistema diferente vulnerable), o porque ninguno de los programas CGI llama bash (no es vulnerable en este momento), o porque el escaneo no probó el programa CGI correcto (vulnerable, pero no lo sabe).

    
respondido por el Mark 01.10.2014 - 23:00
fuente

Lea otras preguntas en las etiquetas