Redis是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。从2010年3月15日起，Redis的开发工作由VMware主持。从2013年5月开始，Redis的开发由Pivotal赞助。

Redis因配置不当可以未授权访问（窃取数据、反弹shell、数据备份操作主从复制、命令执行）。攻击者无需认证访问到内部数据，可导致敏感信息泄露，也可以恶意执行flushall来清空所有数据。攻击者可通过EVAL执行lua代码，或通过数据备份功能往磁盘写入后门文件。

影响版本：

Redis 2.x，3.x，4.x，5.x

centos系统：

参考：https://jingyan.baidu.com/article/020278114119b71bcc9ce5bf.html

windows系统：

参考：https://github.com/microsoftarchive/redis/releases

对应的.msi版本下载之后，傻瓜式安装即可；

kaili:

安装完毕以后，需要更改一些配置

linux系统的redis.conf文件，

windows系统的redis.windows.conf、redis.windows-service.conf文件

修改如下内容：

服务端（靶机）启动redis-server同时加载配置文件

如下显示已经安装成功。

Redis常用命令：

服务端：

redis客户端：

在本机上测试：

测试完以后exit，退出，另一个客户端就可以连接了。

在kaili上测试：

不需校验直接就可以连接redis,存在Redis未授权访问漏洞。

备注：

测试的时候如果出现redis客户端一直连不上的情况，在靶机上执行了以下命令，客户端就可以连接上了。

只要是linux，任何发型版本都有iptables，firewall和ufw都是调用的iptables，虽然我把firewalld关了，但是还是有iptables策略。

原理：利用了redis数据库的备份功能，当redis以root身份运行，利用Redis的config set命令，只要内容为SSH公钥内容，文件路径满足公钥存放的位置，就可以给root账户写入SSH公钥文件，直接通过SSH登录目标服务器。

在靶机中创建ssh公钥存放目录（一般是/root/.ssh)

靶机中开启redis服务

在攻击机中生成ssh公钥和私钥，密码设置为空：

进入.ssh目录,然后将生成的公钥写入 ceshi.txt 文件

将保存ssh的公钥ceshi.txt写入redis

攻击机连接 靶机Redis

使用 CONFIG GET dir 命令得到redis备份的路径，更改redis备份路径为ssh公钥存放目录（一般默认为/root/.ssh）并设置上传公钥的备份文件名字为authorized_keys：

至此成功写入ssh公钥到靶机。

然后在攻击机上使用ssh免密登录靶机：

原理：

利用了redis数据库的备份功能，在知道了网站路径以后，使用redis的CONFIG set命令，将文件内容为一句话木马，文件路径为网站根目录的wenshell写入目标服务器。

前提条件：

redis可以连接，且知道web目录路径。

示例 在redis客户端，连接redis服务器后，输入命令：

//其中\n\n\n代表换行的意思，用redis写入的文件会自带一些版本信息，如果不换行可能会导致无法执行。

将dir设置路径为网站根目录，dbfilename设置文件名为shell.php，再执行save或bgsave，于是就将一句话写到网站根目录下了。

使用菜刀，连接http://10.1.8.158/shell.php,密码为redis，连接成功：

首先同样利用了redis数据库的备份功能，在我们不知道网站绝对路径的时候，可以利用linux的定时任务特性：Linux会监测/etc/crontab的内容，当我们将反弹shell的命令使用redis备份到/etc/crontab中，就可以获得反弹shell。

我们经常使用的是crontab命令是cron table的简写，它是cron的配置文件，也可以叫它作业列表，我们可以在以下文件夹内找到相关配置文件。

其他crontab知识可以参考：https://www.runoob.com/w3cnote/linux-crontab-tasks.html

注意： 在不同系统中，root的位置是不一样的 在kali和ubantu中，其文件位置为/var/spool/cron/crontabs/root，在centos系列中位置为/var/spool/cron/root，通常情况下没有root文件，需要自己创建。

VPS开nc监听需要反弹shell的端口：

客户端连接上Redis服务端以后，执行：

//添加名为xxx的key，值为后面反弹shell的语句,5个星号代表每分钟执行一次，其中的\n同样是为了换行，避免crontab的语法错误。

反弹shell命令成功写入了靶机的/var/spool/cron/root中：

检查定时任务是否执行：

VPS成功获得反弹shell:

1、禁止外部访问Redis服务端口

2、禁止使用root权限启动redis服务

3、配置安全组，限制可连接Redis服务器的IP

END