Redis Rce 简析

Redis

字数统计: 1.1k阅读时长: 4 min

 2019/07/10

总的下来，利用主从连接断开恢复后全量备份写入 so 进行加载调用

也可以当做任意文件上传，配合之前的利用方式进行攻击

0x0?

之前 redis 常用的利用方式基本三种

写 shell 或文件
1. 绝对路径
2. 可写权限
写 ssh 公钥
1. 需要相关用户权限
写 cron(tab) 反弹 shell
1. 目前只能 centos

注意有两点

高版本 redis 会在 redis 权限下启动，非 root，对 1、2 限制很大
只能 centos，是因为ubuntu、debian等系统会改文件权限为644，cron会显示需要600

新方法的好处

无利用save写文件时存在的脏数据影响
利用 module 加载 so，只要有兼容系统版本的 so 即可

0x00 Protocol

redis-server 支持两种协议

Plaintext：明文（通过空格符分割）
```
 SET keyname value\n
```

Custom：实际利用 RESP 协议

 *3\r\n$3\r\nSET\r\n$7keyname\r\n$5\r\nvalue\r\n

0x01 主从模式

redis的主从模式，使用异步复制，slave节点异步从master节点复制数据，master节点提供读写服务，slave节点只提供读服务（这个是默认配置，可以通过修改配置文件slave-read-only控制）

master节点可以有多个从节点。配置一个slave节点只需要在redis.conf文件中指定slaveof <master_ip> <master_port>即可

同步步骤

Slave 端启动与 Master 的连接
Slave 试图继续部分（或完全）重新同步
Master 通过发送一段命令流(a stream of commands)来保证 Slave 进行更新，以便复制 Master 的任何数据变化

流程图

0x02 攻击流程

设置 dbfilename

 > config get dbdir
 > config get dbfilename # 此步骤用于最后恢复
 > config set <dbdir>/<evil_so_name>

建立虚假 redis 服务器，监听 tcp 流进行回复

流程大致如下
```
1. 接收 PING -> 回复 +PONG
2. 接收 REPLCONF -> 回复 +OK 
  注：这里有两次
  1. 从告知监听端口
  2. 从告知支持的复制方式 eof 和 psync2
3. 根据版本，回复 +FULLRESYNC <master_replid> <offset>
  1. < v2.8 接收 SYNC
  2. >= v2.8 接收 PSYNC
4. 发送so
5. 解除主从，避免后续污染
```
需要注意
- len(master_replid)==40，内容数字+小写即可
- offset == 0，表示从头全量备份
- 发送 so 时，满足 Custom 数据流格式即可，即$ + len(payload) + \r\n + payload + \r\n
P.S. 同步结束后，从会发送Replconf ack心跳测试，但与攻击无关
传输完毕 so 后，执行slaveof no one取消主备设置，避免可能的污染
在 target 上执行 module load <dbdir + evil_so_name>，执行命令

能触发全量备份的关键点在于步骤 2、3 执行时，redis-master 相当于在断线情况下重新上线的，这样从服务器会直接会向主服务器发送 Rsync 确认是否要备份以及备份的方式是差异还是全量，通过传递假的备份内容(即 so)写入到目标机上，再利用 redis module 拓展功能进行加载，实现了命令执行

下面动图中，左侧为 master，右侧为 slave，可以看到在 master 上线后，左下角的窗口接收到了 psync 请求