→ danny8376: 原文早看過了 有再用bash跑cgi的就趕快修一修 09/26 23:56
→ danny8376: 沒再用的跟自己關係就小很多了 09/26 23:56
→ danny8376: 至於dhcp部分比較複雜 09/27 00:00
→ danny8376: 這部分要看dhcp的hook script到底用甚麼跑 09/27 00:01
→ danny8376: 至於OSX根本不是用dhclient BSD則是全用sh跑 09/27 00:02
→ danny8376: debian系的 沒再用舊版本肯定都已經是dash跑 09/27 00:03
→ HamalAri: 可能有問題的還有很多，比如你就忘 openssh 09/27 00:36
→ HamalAri: 至於預設是什麼 shell 和使用者裝什麼 shell 是兩回事 09/27 00:37
→ HamalAri: 有些人就習慣某些 shell，有些東西如array在ash就沒有 09/27 00:38
→ HamalAri: 為了相同性只寫 sh 是一種選擇，但幹麻強迫別人不用bash 09/27 00:39
推 newversion: /bin/sh --> link到 /bin/bash 似乎是錯誤的選擇 09/27 00:54
→ danny8376: 問題就在於能被外部改環境變數並執行這個條件 09/27 00:57
→ danny8376: openssh 除了工作站 沒有哪種狀況會預期他人登入吧? 09/27 00:58
→ danny8376: 如果是工作站那關注並修補shell就是本該做的事 09/27 00:59
→ danny8376: 非工作站ssh部分就可以說是沒影響 09/27 00:59
→ danny8376: 至於寫shell script同理 你不會自己寫一個駭自己 09/27 01:00
→ danny8376: 的shell sciprt來用吧? 除非你是要學習這漏洞 09/27 01:00
→ danny8376: 如果你很清楚你自己用了bash寫了一個對外用的cgi 09/27 01:00
→ danny8376: 那你就知道你有用到 你就該去修 09/27 01:01
→ danny8376: 沒用到自然就跟你無關不是? 09/27 01:01
→ danny8376: 在剩下來也就只有那些不是你寫的東西而已 09/27 01:01
→ HamalAri: 你要堅持 vulnerable 不等於 exploitable 你家的事 09/29 14:48
→ HamalAri: 不要在那邊一直說影響不大 09/29 14:48