一个新的漏洞代号“ Shellshock”昨天被发现，属高危漏洞，被安全人士一致认为影响范围可以与今年4月份出现的“心脏出血/Heartbleed ”漏洞严重程度相似。产生“ Shellshock”漏洞的程序叫做bash，这是一个比OpenSSL还要古老的开源程序，它正式诞生至今已有25年。bash属于命令行程序，你可以类比于Windows下的“cmd”，但它的功能还要强大。简单的说，bash是Linux系统的“命令行”桌面之一，通过向它输入指令，你才能操作电脑。bash的市场占有率极高。它内置在世界上绝大多数Linux及UNIX系统内，并是大多数Linux、v10.4以上的OS X、移植到Windows平台的Cygwin等系统的默认Shell，也就是前边所说的“命令行”桌面。通过“ Shellshock”漏洞，黑客可以远程完全控制该系统。“ Shellshock”利用了bash环境变量的不当处理漏洞，它可以引发恶意类型的远程执行代码。换句话说，借助这个漏洞，黑客可以非常隐蔽的在系统中执行命令，从而有可能获取最高权限。360安全研究员redrain表示，只要这台设备在公网内，就可以受到“ Shellshock”漏洞的影响。目前追溯到bash受影响的范围，从v1.13到最新的v4.3，几乎涉及它公开发布的所有版本。“ Shellshock”对网站服务器、物联网产品、工控设备等影响非常大。目前来看，Windows用户基本不受影响，因为没安装bash；Mac用户默认预装了bash，还需要等待苹果官方的回应，目前实测最新版存在此漏洞；互联网网站可能会有大范围受影响，目前国内已经出现第一起利用实例；采用Linux核心的物联网和工控设备同样非常容易受到攻击。这次受影响的是bash的所有版本，老旧设备可能无法得到更新，它的影响会更深远。验证漏洞的方法，在命令行/shell中执行下面命令：env x='() { :;}; echo VulnerableCVE-2014-6271 ' bash -c echo test执行命令后，如果显示VulnerableCVE-2014-6271，则证明系统存在漏洞，（黑客）可改变echo VulnerableCVE-2014-6271为任意命令进行执行。如何打补丁：GNU官方补丁所在地址：http://seclists.org/oss-sec/2014/q3/650各大发行版的解决方法：Debian：查看 https://www.debian.org/security/2014/dsa-3032Ubuntu：查看 http://www.ubuntu.com/usn/usn-2362-1/CentOS:# yum -y update bashFedora:查看 https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2014-6271