Redis未授权访问漏洞的重现与利用

前言:

最近配置openvas的时候安装了redis,听说曾经曝出过一个未授权访问漏洞,便找了一下相关资料想自己动手复现一下漏洞的利用过程,当然所有的攻击性操作都是在虚拟机上完成的,本文所有的操作是在Fedora26上进行的,使用的虚拟机为Oracle VM VirtualBox。过程中遇到了不少坑,在此整理一下过程,供像我一样怀有好奇心的小白们学习参考,如有差错还请各位大牛们斧正。

一、漏洞简介以及危害:

1.什么是redis未授权访问漏洞:

Redis 默认情况下,会绑定在 0.0.0.0:6379,,如果没有进行采用相关的策略,比如添加防火墙规则避免其他非信任来源 ip 访问等,这样将会将 Redis 服务暴露到公网上,如果在没有设置密码认证(一般为空)的情况下,会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下,利用 Redis 自身的提供的config 命令,可以进行写文件操作,攻击者可以成功将自己的ssh公钥写入目标服务器的 /root/.ssh 文件夹的authotrized_keys 文件中,进而可以使用对应私钥直接使用ssh服务登录目标服务器。

简单说,漏洞的产生条件有以下两点:

(1)redis绑定在 0.0.0.0:6379,且没有进行添加防火墙规则避免其他非信任来源 ip 访问等相关安全策略,直接暴露在公网; (2)没有设置密码认证(一般为空),可以免密码远程登录redis服务。

2.漏洞的危害:

(1)攻击者无需认证访问到内部数据,可能导致敏感信息泄露,黑客也可以恶意执行flushall来清空所有数据; (2)攻击者可通过EVAL执行lua代码,或通过数据备份功能往磁盘写入后门文件; (3)最严重的情况,如果Redis以root身份运行,黑客可以给root账户写入SSH公钥文件,直接通过SSH登录受害服务器

二、漏洞的复现和利用:

1.SSH免密登录原理简介:

在正式开始介绍复现过程前,先说明一下我复现的是最严重的漏洞利用情况即以root身份登录redis服务写入ssh公钥实现使用ssh免密登录受害主机。现在先说明一下SSH免密登录的原理(已经了解的童靴们可以直接跳过hhh):

SSH提供两种登录验证方式,一种是口令验证也就是账号密码登录,另一种是密钥验证也就是我们想要的免密登录了,这里我只简单说一下密钥验证的原理。

所谓密钥验证,其实就是一种基于公钥密码的认证,使用公钥加密、私钥解密,其中公钥是可以公开的,放在服务器端,你可以把同一个公钥放在所有你想SSH远程登录的服务器中,而私钥是保密的只有你自己知道,公钥加密的消息只有私钥才能解密,大体过程如下:

(1)客户端生成私钥和公钥,并把公钥拷贝给服务器端; (2)客户端发起登录请求,发送自己的相关信息; (3)服务器端根据客户端发来的信息查找是否存有该客户端的公钥,若没有拒绝登录,若有则生成一段随机数使用该公钥加密后发送给客户端; (4)客户端收到服务器发来的加密后的消息后使用私钥解密,并把解密后的结果发给服务器用于验证; (5)服务器收到客户端发来的解密结果,与自己刚才生成的随机数比对,若一样则允许登录,不一样则拒绝登录。

2.漏洞环境搭建:

(一)安装redis服务:

(1)从官网下载源码的压缩包:

(2)下载完成后,解压压缩包:

(3)然后进入解压后的目录:cd redis-3.2.11,输入make并执行;

(4)make结束后,进入src目录:cd src,将redis-server和redis-cli拷贝到/usr/bin目录下(这样启动redis-server和redis-cli就不用每次都进入安装目录了):

(5)返回目录redis-3.2.11,将redis.conf拷贝到/etc/目录下:

(6)编辑etc中的redis配置文件redis.conf,如下图所示:

去掉ip绑定,允许除本地外的主机远程登录redis服务:

关闭保护模式,允许远程连接redis服务:

(7)使用/etc/目录下的reids.conf文件中的配置启动redis服务:

(二)安装ssh服务:

fedora26安装有ssh服务,但默认没有启动,需使用systemctl start sshd命令启动ssh服务。

(三)复制虚拟机,一个作为靶机,一个作为攻击端

至此漏洞环境便已经搭建完毕,此时的redis服务是可以以root用户身份远程免密码登录的。

3.漏洞利用重现:

(1)我使用的虚拟机是Oracle VM VirtualBox,首先配置网络,都设置为桥接网卡,界面为环回适配器,混杂模式为全部允许,使两台虚拟机之间可以互相通信:

(2)使用ifconfig命令查看两台虚拟机的ip:

如果ip一样,则修改一台虚拟机ip,我修改了右侧虚拟机ip为192.168.0.147:

虚拟机A(192.168.0.146)为靶机,虚拟机B(192.168.0.147)为攻击端;

(3)在A中开启redis服务:redis-server /etc/redis.conf ;

(4)在主机A中执行mkdir /root/.ssh命令,创建ssh公钥存放目录(A是作为ssh服务器使用的)

(5)在B中生成ssh公钥和私钥,密码设置为空:

进入.ssh目录:cd .ssh/,将生成的公钥保存到1.txt:

(6)ping一下目标主机ip确定能通,若不能则再运行一遍ifconfig enp0s3 192.168.0.147 up命令,我的可以ping通:

(7)将1.txt写入redis(使用redis-cli -h ip命令连接主机A,将文件写入):

(8)远程登录主机A的redis服务:redis-cli -h 192.168.0.146 并使用CONFIG GET dir命令得到redis备份的路径:

(9)更改redis备份路径为ssh公钥存放目录(一般默认为/root/.ssh):

(10)设置上传公钥的备份文件名字为authorized_keys:

(11)检查是否更改成功(查看有没有authorized_keys文件),没有问题就保存然后退出,至此成功写入ssh公钥到靶机:

(12)开启主机A和主机B的ssh服务(Fedor默认ssh服务关闭),命令为systemctl start sshd.serveice:

(13)在主机B使用ssh免密登录主机A:ssh -i id_rsa root@192.168.0.146,成功登录:

至此,我们就成功利用redis未授权访问漏洞实现了ssh免密登录目标服务器,接下来就可以使用ssh服务来进行下一步的渗透工作啦。

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2018-02-16

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏向治洪

在Windows下搭建Gitlab服务器

一.GitLab简介 GitLab 是一个用于仓库管理系统的开源项目。使用Git作为代码管理工具,并在此基础上搭建起来的web服务。 可通过Web界面进行访问...

2.2K100
来自专栏云计算教程系列

使用SSH隧道保护三层Rails应用程序中的通信

在Ruby on Rails应用程序中,它可以轻易地映射到表示层的Web服务器,应用程序层的Rails服务器和数据层的数据库。在此设置中,应用程序层与数据层通信...

11530
来自专栏Debian社区

Debian Linux下安装配置 Pure-ftpd

PureFTPd 是一款专注于程序健壮和软件安全的免费FTP服务器软件(基于BSD License)。其可以在多种类Unix操作系统中编译运行,包括Linux、...

21220
来自专栏Java编程技术

Hystrix熔断机制原理剖析

在分布式系统架构中多个系统之间通常是通过远程RPC调用进行通信,也就是 A 系统调用 B 系统服务,B 系统调用 C 系统的服务。当尾部应用 C 发生故障而系统...

16710
来自专栏云计算教程系列

给你CVM服务器加把锁,如何使用SSH密钥

SSH或安全shell是用于管理服务器和与服务器通信的加密协议。使用Ubuntu服务器时,您可能会将大部分时间花在通过SSH连接到服务器中。

19340
来自专栏编程之旅

在Mac上使用ssh-key免密码登录服务器

从很早之前开始,在搭建测试服务器的时候,就不停的谷歌怎么免密登录服务器,每次配置好免密登录后,到搭建新的服务器时,又忘记了具体的命令,所以决定把这个方法记下来,...

1.7K40
来自专栏dalaoyang

Linux生成私钥和公钥免密连接

有时需要从服务器A免密连接到服务器B,这时需要在服务器A生成私钥和公钥,大致过程其实就2步。

28710
来自专栏云知识学习

Tomcat开启SSL 8443端口的方法

TOMCAT_HOME:/usr/local/tomcat7,安装方法参考:windows和linux 下将tomcat注册为服务

626110
来自专栏13blog.site

javax.net.ssl.SSLHandshakeException: No appropriate protocol (protocol is disabled or cipher suites

前言 今天一个朋友让我帮他做一下tomcat的https配置,中间遇到了标题中这个错误,因此记录了一下过程,服务器、域名、证书、tomcat都已经准备好,就是需...

47980
来自专栏Java帮帮-微信公众号-技术文章全总结

Centos6.5安装配置nginx

出现如下代码: nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is...

11330

扫码关注云+社区

领取腾讯云代金券