搜索

[12366] 2018-02-16_Redis未授权访问漏洞的重现与利用

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-02-16_Redis未授权访问漏洞的重现与利用 R e d i s 未 授 权 访 问 漏 洞 的 重 现 与 利 用 f l u r r y   F r e e B u f   2 0 1 8 - 0 2 - 1 6 * 本 文 原 创 作 者 ： f l u r r y ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 ： 前 言 ： 最 近 配 置 最 近 配 置 o p e n v a s 的 时 候 安 装 了 的 时 候 安 装 了 r e d i s ， 听 说 曾 经 曝 出 过 一 个 未 授 权 访 问 漏 洞 ， 便 找 了 一 下 相 关 资 料 想 自 己 动 手 ， 听 说 曾 经 曝 出 过 一 个 未 授 权 访 问 漏 洞 ， 便 找 了 一 下 相 关 资 料 想 自 己 动 手 复 现 一 下 漏 洞 的 利 用 过 程 ， 当 然 所 有 的 攻 击 性 操 作 都 是 在 虚 拟 机 上 完 成 的 ， 本 文 所 有 的 操 作 是 在 复 现 一 下 漏 洞 的 利 用 过 程 ， 当 然 所 有 的 攻 击 性 操 作 都 是 在 虚 拟 机 上 完 成 的 ， 本 文 所 有 的 操 作 是 在 F e d o r a 2 6 上 进 上 进 行 的 ， 使 用 的 虚 拟 机 为 行 的 ， 使 用 的 虚 拟 机 为 O r a c l e   V M   V i r t u a l B o x 。 过 程 中 遇 到 了 不 少 坑 ， 在 此 整 理 一 下 过 程 ， 供 像 我 一 样 怀 有 好 。 过 程 中 遇 到 了 不 少 坑 ， 在 此 整 理 一 下 过 程 ， 供 像 我 一 样 怀 有 好 奇 心 的 小 白 们 学 习 参 考 ， 如 有 差 错 还 请 各 位 大 牛 们 斧 正 。 奇 心 的 小 白 们 学 习 参 考 ， 如 有 差 错 还 请 各 位 大 牛 们 斧 正 。 一 、 漏 洞 简 介 以 及 危 害 ： 一 、 漏 洞 简 介 以 及 危 害 ： 1 . 什 么 是 什 么 是 r e d i s 未 授 权 访 问 漏 洞 ： 未 授 权 访 问 漏 洞 ： R e d i s   默 认 情 况 下 ， 会 绑 定 在   0 . 0 . 0 . 0 : 6 3 7 9 ， ， 如 果 没 有 进 行 采 用 相 关 的 策 略 ， 比 如 添 加 防 火 墙 规 则 避 免 其 他 非 信 任 来 源   i p   访 问 等 ， 这 样 将 会 将   R e d i s   服 务 暴 露 到 公 网 上 ， 如 果 在 没 有 设 置 密 码 认 证 （ 一 般 为 空 ） 的 情 况 下 ， 会 导 致 任 意 用 户 在 可 以 访 问 目 标 服 务 器 的 情 况 下 未 授 权 访 问   R e d i s   以 及 读 取   R e d i s   的 数 据 。 攻 击 者 在 未 授 权 访 问   R e d i s   的 情 况 下 ， 利 用   R e d i s   自 身 的 提 供 的 c o n f i g   命 令 ， 可 以 进 行 写 文 件 操 作 ， 攻 击 者 可 以 成 功 将 自 己 的 s s h 公 钥 写 入 目 标 服 务 器 的 / r o o t / . s s h   文 件 夹 的 a u t h o t r i z e d _ k e y s   文 件 中 ， 进 而 可 以 使 用 对 应 私 钥 直 接 使 用 s s h 服 务 登 录 目 标 服 务 器 。 简 单 说 ， 漏 洞 的 产 生 条 件 有 以 下 两 点 ： （ 1 ） r e d i s 绑 定 在   0 . 0 . 0 . 0 : 6 3 7 9 ， 且 没 有 进 行 添 加 防 火 墙 规 则 避 免 其 他 非 信 任 来 源   i p   访 问 等 相 关 安 全 策 略 ， 直 接 暴 露 在 公 网 ； （ 2 ） 没 有 设 置 密 码 认 证 （ 一 般 为 空 ） ， 可 以 免 密 码 远 程 登 录 r e d i s 服 务 。 2 . 漏 洞 的 危 害 ： 漏 洞 的 危 害 ： （ 1 ） 攻 击 者 无 需 认 证 访 问 到 内 部 数 据 ， 可 能 导 致 敏 感 信 息 泄 露 ， 黑 客 也 可 以 恶 意 执 行 f l u s h a l l 来 清 空 所 有 数 据 ； （ 2 ） 攻 击 者 可 通 过 E V A L 执 行 l u a 代 码 ， 或 通 过 数 据 备 份 功 能 往 磁 盘 写 入 后 门 文 件 ； （ 3 ） 最 严 重 的 情 况 ， 如 果 R e d i s 以 r o o t 身 份 运 行 ， 黑 客 可 以 给 r o o t 账 户 写 入 S S H 公 钥 文 件 ， 直 接 通 过 S S H 登 录 受 害 服 务 器 二 、 漏 洞 的 复 现 和 利 用 ： 二 、 漏 洞 的 复 现 和 利 用 ： 1 . S S H 免 密 登 录 原 理 简 介 ： 免 密 登 录 原 理 简 介 ： 在 正 式 开 始 介 绍 复 现 过 程 前 ， 先 说 明 一 下 我 复 现 的 是 最 严 重 的 漏 洞 利 用 情 况 即 以 r o o t 身 份 登 录 r e d i s 服 务 写 入 s s h 公 钥 实 现 使 用 s s h 免 密 登 录 受 害 主 机 。 现 在 先 说 明 一 下 S S H 免 密 登 录 的 原 理 （ 已 经 了 解 的 童 靴 们 可 以 直 接 跳 过 h h h ） ： S S H 提 供 两 种 登 录 验 证 方 式 ， 一 种 是 口 令 验 证 也 就 是 账 号 密 码 登 录 ， 另 一 种 是 密 钥 验 证 也 就 是 我 们 想 要 的 免 密 登 录
了 ， 这 里 我 只 简 单 说 一 下 密 钥 验 证 的 原 理 。 所 谓 密 钥 验 证 ， 其 实 就 是 一 种 基 于 公 钥 密 码 的 认 证 ， 使 用 公 钥 加 密 、 私 钥 解 密 ， 其 中 公 钥 是 可 以 公 开 的 ， 放 在 服 务 器 端 ， 你 可 以 把 同 一 个 公 钥 放 在 所 有 你 想 S S H 远 程 登 录 的 服 务 器 中 ， 而 私 钥 是 保 密 的 只 有 你 自 己 知 道 ， 公 钥 加 密 的 消 息 只 有 私 钥 才 能 解 密 ， 大 体 过 程 如 下 ： （ 1 ） 客 户 端 生 成 私 钥 和 公 钥 ， 并 把 公 钥 拷 贝 给 服 务 器 端 ； （ 2 ） 客 户 端 发 起 登 录 请 求 ， 发 送 自 己 的 相 关 信 息 ； （ 3 ） 服 务 器 端 根 据 客 户 端 发 来 的 信 息 查 找 是 否 存 有 该 客 户 端 的 公 钥 ， 若 没 有 拒 绝 登 录 ， 若 有 则 生 成 一 段 随 机 数 使 用 该 公 钥 加 密 后 发 送 给 客 户 端 ； （ 4 ） 客 户 端 收 到 服 务 器 发 来 的 加 密 后 的 消 息 后 使 用 私 钥 解 密 ， 并 把 解 密 后 的 结 果 发 给 服 务 器 用 于 验 证 ； （ 5 ） 服 务 器 收 到 客 户 端 发 来 的 解 密 结 果 ， 与 自 己 刚 才 生 成 的 随 机 数 比 对 ， 若 一 样 则 允 许 登 录 ， 不 一 样 则 拒 绝 登 录 。 2 . 漏 洞 环 境 搭 建 ： 漏 洞 环 境 搭 建 ： （ 一 ） 安 装 （ 一 ） 安 装 r e d i s 服 务 ： 服 务 ： （ 1 ） 从 官 网 下 载 源 码 的 压 缩 包 ： （ 2 ） 下 载 完 成 后 ， 解 压 压 缩 包 ： （ 3 ） 然 后 进 入 解 压 后 的 目 录 ： c d   r e d i s - 3 . 2 . 1 1 ， 输 入 m a k e 并 执 行 ； （ 4 ） m a k e 结 束 后 ， 进 入 s r c 目 录 ： c d   s r c ， 将 r e d i s - s e r v e r 和 r e d i s - c l i 拷 贝 到 / u s r / b i n 目 录 下 （ 这 样 启 动 r e d i s - s e r v e r 和 r e d i s - c l i 就 不 用 每 次 都 进 入 安 装 目 录 了 ） ： （ 5 ） 返 回 目 录 r e d i s - 3 . 2 . 1 1 ， 将 r e d i s . c o n f 拷 贝 到 / e t c / 目 录 下 ：
（ 6 ） 编 辑 e t c 中 的 r e d i s 配 置 文 件 r e d i s . c o n f ， 如 下 图 所 示 ： 去 掉 i p 绑 定 ， 允 许 除 本 地 外 的 主 机 远 程 登 录 r e d i s 服 务 ： 关 闭 保 护 模 式 ， 允 许 远 程 连 接 r e d i s 服 务 ： （ 7 ） 使 用 / e t c / 目 录 下 的 r e i d s . c o n f 文 件 中 的 配 置 启 动 r e d i s 服 务 ： （ 二 ） 安 装 （ 二 ） 安 装 s s h 服 务 ： 服 务 ： f e d o r a 2 6 安 装 有 s s h 服 务 ， 但 默 认 没 有 启 动 ， 需 使 用 s y s t e m c t l   s t a r t   s s h d 命 令 启 动 s s h 服 务 。 （ 三 ） 复 制 虚 拟 机 ， 一 个 作 为 靶 机 ， 一 个 作 为 攻 击 端 （ 三 ） 复 制 虚 拟 机 ， 一 个 作 为 靶 机 ， 一 个 作 为 攻 击 端 至 此 漏 洞 环 境 便 已 经 搭 建 完 毕 ， 此 时 的 r e d i s 服 务 是 可 以 以 r o o t 用 户 身 份 远 程 免 密 码 登 录 的 。 3 . 漏 洞 利 用 重 现 ： 漏 洞 利 用 重 现 ： （ 1 ） 我 使 用 的 虚 拟 机 是 O r a c l e   V M   V i r t u a l B o x ， 首 先 配 置 网 络 ， 都 设 置 为 桥 接 网 卡 ， 界 面 为 环 回 适 配 器 ， 混 杂 模 式 为 全 部 允 许 ， 使 两 台 虚 拟 机 之 间 可 以 互 相 通 信 ：
（ 2 ） 使 用 i f c o n f i g 命 令 查 看 两 台 虚 拟 机 的 i p ： 如 果 i p 一 样 ， 则 修 改 一 台 虚 拟 机 i p ， 我 修 改 了 右 侧 虚 拟 机 i p 为 1 9 2 . 1 6 8 . 0 . 1 4 7 ： 虚 拟 机 A ( 1 9 2 . 1 6 8 . 0 . 1 4 6 ) 为 靶 机 ， 虚 拟 机 B （ 1 9 2 . 1 6 8 . 0 . 1 4 7 ） 为 攻 击 端 ； （ 3 ） 在 A 中 开 启 r e d i s 服 务 ： r e d i s - s e r v e r   / e t c / r e d i s . c o n f   ； （ 4 ） 在 主 机 A 中 执 行 m k d i r   / r o o t / . s s h 命 令 ， 创 建 s s h 公 钥 存 放 目 录 （ A 是 作 为 s s h 服 务 器 使 用 的 ） （ 5 ） 在 B 中 生 成 s s h 公 钥 和 私 钥 ， 密 码 设 置 为 空 ：
进 入 . s s h 目 录 ： c d   . s s h / ， 将 生 成 的 公 钥 保 存 到 1 . t x t ： （ 6 ） p i n g 一 下 目 标 主 机 i p 确 定 能 通 ， 若 不 能 则 再 运 行 一 遍 i f c o n f i g   e n p 0 s 3   1 9 2 . 1 6 8 . 0 . 1 4 7   u p 命 令 ， 我 的 可 以 p i n g 通 ： （ 7 ） 将 1 . t x t 写 入 r e d i s （ 使 用 r e d i s - c l i   - h   i p 命 令 连 接 主 机 A ， 将 文 件 写 入 ） ： （ 8 ） 远 程 登 录 主 机 A 的 r e d i s 服 务 ： r e d i s - c l i   - h   1 9 2 . 1 6 8 . 0 . 1 4 6   并 使 用 C O N F I G   G E T   d i r 命 令 得 到 r e d i s 备 份 的 路 径 ： （ 9 ） 更 改 r e d i s 备 份 路 径 为 s s h 公 钥 存 放 目 录 （ 一 般 默 认 为 / r o o t / . s s h ） ： （ 1 0 ） 设 置 上 传 公 钥 的 备 份 文 件 名 字 为 a u t h o r i z e d _ k e y s ：
（ 1 1 ） 检 查 是 否 更 改 成 功 （ 查 看 有 没 有 a u t h o r i z e d _ k e y s 文 件 ） ， 没 有 问 题 就 保 存 然 后 退 出 ， 至 此 成 功 写 入 s s h 公 钥 到 靶 机 ： （ 1 2 ） 开 启 主 机 A 和 主 机 B 的 s s h 服 务 （ F e d o r 默 认 s s h 服 务 关 闭 ） ， 命 令 为 s y s t e m c t l   s t a r t   s s h d . s e r v e i c e ： （ 1 3 ） 在 主 机 B 使 用 s s h 免 密 登 录 主 机 A ： s s h   - i   i d _ r s a   r o o t @ 1 9 2 . 1 6 8 . 0 . 1 4 6 ， 成 功 登 录 ： 至 此 ， 我 们 就 成 功 利 用 r e d i s 未 授 权 访 问 漏 洞 实 现 了 s s h 免 密 登 录 目 标 服 务 器 ， 接 下 来 就 可 以 使 用 s s h 服 务 来 进 行 下 一 步 的 渗 透 工 作 啦 。 * 本 文 原 创 作 者 ： f l u r r y ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理