浅谈安全策略之Busybox,内附多个0DAY

发布网友发布时间：2024-10-23 06:21

共1个回答

热心网友时间：22小时前

BusyBox是一个集成了三百多个最常用Linux命令和工具的软件，常用于嵌入式开发，集成压缩了Linux的许多工具和命令，包括Android系统的自带shell。然而，由于一些厂商配置疏忽，并结合Web漏洞，BusyBox可能导致物联网设备、网络设备产生命令执行甚至代码执行的漏洞。已公开的案例包括Huawei HG532系列路由器远程命令执行漏洞。

在安装BusyBox之前，需要准备相应的环境。这包括Ubuntu 18.04.1桌面版操作系统，VMware Workstation 15 Pro虚拟机，以及用于安装BusyBox和其他相关组件的命令：aptitude、libncurses5-dev和GCC。安装步骤包括：安装操作系统、安装aptitude、libncurses5-dev、GCC，最后安装BusyBox。使用BusyBox时，只需在常用Linux命令前加上"busybox"即可执行。

BusyBox的使用涉及其工作原理：利用shell传递给C语言main()函数的参数。通过改变这种传参方式，可以产生安全隐患。例如，使用ENV命令可以绕过权限*执行bash命令，或通过basename命令实现命令执行。wget命令也可能在权限设置不完善的情况下，导致GETShell问题。

为加固BusyBox安全性，应实施权限*策略，以有效*访问范围和使用，提高系统的安全指数。此外，可以对BusyBox进行命令裁剪，删除不常用的命令并进行编译安装，减少安全风险。请谨慎使用，避免非法途径，对于用于非法行为，作者不承担任何责任。欢迎投稿至公众号，有技术含量的文章将有机会获得稿费及加入核心团队。

声明：本网页内容为用户发布，旨在传播知识，不代表本网认同其观点，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。
E-MAIL:11247931@qq.com