Redis未授权访问漏洞(一)先导篇

前言

Redis默认情况下，会绑定在0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源ip访问等，这样将会将Redis服务暴露到公网上。

如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis以及读取Redis的数据。

攻击者在未授权访问Redis的情况下，利用Redis自身的提供的config命令，可以进行写文件操作，攻击者可以成功将自己的ssh公钥写入目标服务器的/root/.ssh 文件夹的authotrized_keys文件中，进而可以使用对应私钥直接使用ssh服务登录目标服务器、添加计划任务、写入Webshell等操作。

Redis未授权访问是非常常见的一个漏洞，有很多的云服务器被挖矿就是因为安装了Redis。

1-Redis服务器被挖矿案例

首先，在学习Redis漏洞之前先来看一个案列，当我们的redis服务器由于配置不当时是如何被黑客利用来进行挖矿的。

这是我们买下的一台阿里云服务器，它上面下载了redis服务，我们先来了解一下关于redis服务的外网配置。

redis的服务配置文件都在redis.conf文件里，我们通过下列代码打开编辑redis的服务配置

进入编辑界面后，我们先来了解一下三个选项

这是redis的远程保护模式，我们要将他由no改为yes，否者我们是没办法远程连接redis服务器的。

这里是是否绑定IP可以访问，这里我们需要给他注释掉，否则只能本地主机进行访问。

第三个我们如果想要别人通过6379端口远程访问我们的redis服务，那我们必须在规则里设置6379端口开放。

回到我们的正文，在我们在公网的阿里云服务在配置了redis服务没多久之后，手机就收到了这么一条来信：

没错我们的服务器被黑客攻击了。

我们通过数据分析，黑客通过对我们的键进行了篡改，远程下载了恶意的挖矿程序。

这是挖矿程序的一部分源码
总体分析下来，恶意程序做了这么几件事：

1.2-Redis常见用途

因为大家有可能是小白，对于Redis不是很熟悉，所以这里还是先来跟大家介绍一下什么是Redis。如果你在一个互联网公司做运维或者做安全，那一定少不了跟Redis服务器打交道。Redis用来做缓存是非常知名的，但Redis除了做缓存之外可以做的事情是非常多的。

Redis是怎么来的呢？Redis的全称是Remote Dictionary Service(远程字典服务)，在2007年的时候Redis的作者antirez做了一个用来统计访问网站记录的网站服务。他会记录每天网站有多少个页面被浏览了，有多少个IP浏览了当前的网站。最开始的时候，antirez是用MYSQL数据库存储这些数据信息的。但后来，慢慢的网站数据变得越来越多，数据库变得越来越卡，于是在2009年，antirez干脆自己用C语言写了一个内存版本的列表功能，那这个内存版本的列表功能就是Redis的前身。

Redis存储数据都是通过键值对的形式来实现的。Redis里我们用的最多的两个操作就是set和get，set就是给一个键赋值，get就是对一个键取值。下面我们通过实际案列来演示一下：

我们通过一下命令用redis.conf配置文件打开redis服务

再通过这条命令打开redis客户端：

如图，我们进入了redis的服务器的界面：

我们通过keys *来获取当前Redis服务里存储的值。如下图看到当前是没有存储任何值的：

我们可以通过set来给某个键赋值

看我们通过set 来给 x 赋值了123，x这个键就存储了123数据。

我们可以通过keys *来查看当前数据库有多少个键值对。

刚刚还是空的数据库，我们通过set给x赋值就出现了x这个键值对

如果我们要查看x这个键中的所存储的数据怎么办呢？这时我们就可以通过get来取值

如图我们取出了存储于x键值中的数据123

最后我们可以通过FLSHALL命令来清空存储于redis的服务数据

当我们用keys *命令查看时，刚刚还存在的x键就被清空了

1.3-Redis环境安装

讲了这么多，我们先来安装一下Redis环境吧，在这之前我们先要自己准备好一台Centos7操作系统用来安装Redis服务。
1、下载 redis

如果从官网下载慢，可以把链接贴到迅雷下载，再传到虚拟机：

cd /usr/local/soft/
wget https://download.redis.io/releases/redis-6.0.9.tar.gz

2、解压压缩包

tar -zxvf redis-6.0.9.tar.gz

3、安装 gcc 依赖

Redis 是 C 语言编写的，编译需要 GCC。
Redis6.x.x 版本支持了多线程，需要 gcc 的版本大于 4.9，但是 CentOS7 的默认版本是 4.8.5。
查看 gcc 的版本：

gcc -v

升级 gcc 版本：

yum -y install centos-release-scl
yum -y install devtoolset-9-gcc devtoolset-9-gcc-c++
devtoolset-9-binutils
scl enable devtoolset-9 bash
echo "source /opt/rh/devtoolset-9/enable" >>/etc/profile

确认 gcc 的版本（在同一个窗口中！）：

gcc -v

4、编译安装

cd redis-6.0.9/src
make install

安装成功的结果是 src 目录下面出现服务端和客户端的脚本
redis-server
redis-cli
redis-sentine

5、修改配置文件

默认的配置文件是/usr/local/soft/redis-6.0.9/redis.conf
后台启动，不然窗口一关服务就挂了

daemonize no

改成

daemonize yes

下面一行必须改成 bind 0.0.0.0 或注释，否则只能在本机访问

bind 127.0.0.1

如果需要密码访问，取消 requirepass 的注释，在外网（比如阿里云）这个必须要配置！

requirepass yourpassword

6、使用指定配置文件启动 Redis

/usr/local/soft/redis-6.0.9/src/redis-server
/usr/local/soft/redis-6.0.9/redis.conf

查看端口是否启动成功：

netstat -an|grep 6379

7、进入客户端

/usr/local/soft/redis-6.0.9/src/redis-cli

8、停止 redis（在客户端中）

redis> shutdown

或

ps -aux | grep redis

kill -9 xxxx

9、配置别名的步骤

vim ~/.bashrc

添加两行：

alias redis='/usr/local/soft/redis-6.0.9/src/redis-server
/usr/local/soft/redis-6.0.9/redis.conf'
alias rcli='/usr/local/soft/redis-6.0.9/src/redis-cli'

编译生效：

source ~/.bashrc

这样就可以用 redis 启动服务，rcli 进入客户端了

1.4-Redis持久化机制

这一节我们来学习一下Redis的持久化机制，首先我们要知道Redis的数据是如何存储的

我们之前提到的Redis是一个纯内存的数据库，这是Redis访问那么快的根本原因，但是你的数据如果只保存在内存中，一旦服务器断电或重启，内存一清空，你的数据不就也跟着清空了吗？那这样可靠性也太低了吧，所以Redis的作者就想了一个办法，通过Redis持久化机制来保证内存数据不定期的保存到磁盘之中。

Redis持久化机制一共提供了两种方式：


我们来看一下自动触发规则的设置，这里有三个选项，save 3600 1表示假如每3600秒有一个键值被添加就保存数据到磁盘一次，剩下的两个以此类推。

那么他刷盘的时候文件会保存到哪个地方呢？保存为什么文件名呢？

我们可以通过dir ./ 来指定保存的路劲，当前这条命令就是保存在根目录下。dbfilename来指定保存数据的文件名，dbfilename redis.php当前这条命令就是指定当前保存数据的文件名为redis.php。

我们还有种方式就是手动触发保存，命令就是save。

1.5-Redis动态修改配置

什么叫做Redis动态修改配置呢？本来我们修改Redis配置文件都要在redis.conf这个文件中去修改的，但是redis我们提供了一种动态修改配置的方式：

我们可以通过config set 去修改配置文件，但是修改后的配置文件只在当前会话中生效，也就是说当你重启服务后动态修改的配置都会失效的。

我们动态修改配置：
然后随便添加一些键值对：
再通过save命令保存：

然后我们去 /www/admin/localhost_80/wwwroot目录下查看有没有redis.php这个文件：

如图看到确实出现了我们保存数据的文件
我们再通过cat命令去查看这个文件的内容：

仔细看确实可以在文件中看到被保存着的aaa，bbb字符。