首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    Windows Redis DLL劫持在实战中的利用

    举例: 例如,假设有一个应用程序叫做"example.exe",它依赖于名为"example.dll"的动态链接库。而"example.exe"在加载"example.dll"时没有使用绝对路径,而是仅仅指定了DLL的名称。攻击者可以将恶意的"example.dll"文件放置在与"example.exe"相同的目录下,当"example.exe"启动时,系统会先在当前目录中查找"example.dll"文件,如果找到,就会加载该文件并执行其中的恶意代码。 DLL劫持可以函数转发劫持也可以往完整DLL插入恶意代码,这里用的函数转发劫持,大致流程如下图所示: https://kiwings.github.io/2019/04/04/th-DLL%E5%8A%AB%E6%8C%81/ 2.2 劫持dbghelp.dll redis-server.exe在执行bgsave时,会先在应用‍目录查找dbghelp.dll,找不到再去system32目录下找: 而不管redis的权限是Administrator还是普通用户或者Network Service,它对自己的应用目录一定有写文件的权限,我们可以通过Redis的主从复制在应用目录里写入恶意DLL。 2.3 函数转发劫持 对DLL进行函数转发劫持需要导出原本DLL的函数和地址,以保证程序通过恶意DLL调用这些函数时不影响正常功能,DLL的导出函数一般比较多,用Aheadlib之类的工具可以自动化处理。 我这里用的是DLLHijacker,它会自动处理导出表并生成一个VS2019的项目,但这个python脚本有几个bug: https://github.com/kiwings/DLLHijacker (1) VS项目中文乱码: 修复:几个写文件的地方添加 encoding="utf-8"。 (2) 函数导出表有匿名函数的时候,会导致以下报错 [-]Error occur: 'NoneType' object has no attribute 'decode 修复:在几个for循环里添加函数名是否为空的判断可以解决这个问题。 (3) 生成C/C++代码时,没有使用目标DLL的绝对路径,只是用了DLL的名字填充LoadLibrary(),这是一个很严重的bug,会导致函数转发失败、Redis的功能受到影响从而只能劫持一次: 修复:我改成了根据输入的目标DLL路径自动填充。 如果没有使用原DLL的绝对路径,在Process Monitor可以看到,只会调用应用程序目录里的恶意DLL,并没有调用原本的system32下的dbghelp.dll: 从而redis的功能受到影响,导致redis的bgsave只能触发一次DLL调用,第二次bgsave的进程会被阻塞从而无法调用DLL,并且Redis关闭后将无法启动: 这也是网上部分师傅的文章写”不会影响redis运行 但会无法重启“的原因,因为他们也是用的DLLHijacker,并且没有发现有这个坑,这不仅会影响业务,而且只能劫持一次: 正常的DLL劫持不会影响程序的功能,可以劫持很多次,假如我第一次劫持想上线CS但是没有成功,那对面可能不出网,那我可能会再劫持打一个MSF的反向shell,都没成功我也可以继续尝试MSF盲打命令: 正常的DLL转发劫持如下,调用完应用程序目录里的恶意DLL后会调用原DLL: 0x03 漏洞利用 3.1 工具使用 工具下载地址: https://github.com/P4r4d1se/dll_hijack 如是是Windows 64位的Redis DLL劫持的话,可以直接用里面的VS2022版的dbghelp项目。 其他要用我修改后的DllHijacker.py和目标DLL路径生成VS项目: python3 DLLHijacker.py C:\Windows\System32\dbghelp.dll 下载安装VS2022,只用勾C++桌面开发: https://visualstudio.microsoft.com/zh-hans/downloads 打开生成目录里的sln文件,因为原本是VS2019的项目所以会提醒你升级,选确定,不然得另外安装v142的编译组件才能编译VS2019的项目: 打开后在源文件的dllmain.app,修改里面的shellocde就行,其他不用改: 3.2 出网——Cobalt Strike 如果Redis主机直接出网,或者能通其他已经上线CS的出网主机,那直接上CS是最好的选择,CS生成C语言的payload: 源文件的dllmain.app里把payload替换进去,然后选Release x64,生成——生成解决方案: 然后主从复制将dbghelp.dll写过去并bg

    01

    redis主从

    环境介绍 master 192.168.1.28 centos 6.4 x64位系统 slave  192.168.1.80 centos 6.4 x64位系统 ############################################## 2台服务器都安装redis 安装redis组件tcl tar zxvf tcl8.6.0-src.tar.gz -C /usr/src/ cd /usr/src/tcl8.6.0/unix ./configure make && make install 安装redis tar zxvf redis-2.8.19.tar.gz -C /usr/src/ cd /usr/src/redis-2.8.19/ make PREFIX=/redis install vi /etc/profile PATH=$PATH:/redis/bin source /etc/profile cd /redis mkdir log mkdir data mkdir conf cp /usr/src/redis-2.8.19/redis.conf conf/redis-6379.conf vi conf/redis-6379.conf pid文件位置 41 pidfile /var/run/redis-6379.pid 客户端连接的超时时间,单位为秒,超时后会关闭连接 74 timeout 50 日志记录等级,4个可选值 98 loglevel warning 日志文件位置 103 logfile /redis/log/redis-6379.log 注释掉以下3行 142 #save 900 1 143 #save 300 10 144 #save 60 10000 设置 Redis 数据保存到disk的策略。save ""表示关闭策略,非常消耗I/O 145 save "" 镜像备份文件的文件名 177 dbfilename dump-6379.rdb 数据库镜像备份的文件放置的路径 187 dir /redis/data/ 禁用disk-based(基于硬盘),使用diskless,基于socket,使用网络传输 272 repl-diskless-sync no 当收到第一个请求时,等待多个slave一起来请求之间的间隔时间。 284 repl-diskless-sync-delay 5 设置redis能够使用的最大内存,清除已到期或即将到期的Key 449 maxmemory 300mb 开启数据持久化 appendonly yes 启动redis redis-server /redis/conf/redis-6379.conf & 查看端口 netstat -anpt | grep redis ###################################################### slave服务器修改配置文件 vi /redis/conf/redis-6379.conf 在以下位置添加一行 # slaveof <masterip> <masterport> slaveof 192.168.1.28 6379 重启redis pkill redis-server redis-server /redis/conf/redis-6379.conf & 查看端口 netstat -anpt | grep redis 在master主机写入key [root@localhost redis]# redis-cli 127.0.0.1:6379> set name aa OK 127.0.0.1:6379> keys * 1) "name" 在slave主机查看key [root@localhost conf]# redis-cli 127.0.0.1:6379> keys * 1) "name" 2边的key一样,说明正常。 关于redis持久化问题,上面的配置好了持久化。 如果重启redis,数据会丢失。 测试重启,再次进入,发现数据是空的 [root@localhost redis]# redis-cli 127.0.0.1:6379> keys * (empty list or set) 再次写入keys,使用save保存 [root@localhost redis]# redis-cli 127.0.0.1:6379> keys * (empty list or set) 127.0.0.1:6379> set pass b OK 127.0.0.1:6379> keys * 1) "pass" 127.0.0.1:6379> save OK 127.0.0.1:6379> exit 重启redis [root@localhost re

    02

    Redis 32位异常:MISCONF Redis is configured to save RDB snapshots

    Windows 32位的Redis一直有些问题,前一阵经常重新启动服务,今天终于抓到一个报错信息:“MISCONF Redis is configured to save RDB snapshots, but is currently not able to persist on disk Redis被配置为保存数据库快照,但它目前不能持久化到硬盘。用来修改集合数据的命令不能用。请查看Redis日志的详细错误信息。“,网上查了一下,使用了”通过redis-cli连接到服务器后执行命令:config set stop-writes-on-bgsave-error no“,但接着发现有篇文章介绍这样做不好,其实是掩耳盗铃的做法,这只是让程序忽略了这个异常,使得程序能够继续往下运行,但实际上数据还是会存储到硬盘失败!,说是有个参数可以解决:”修改vm.overcommit_memory=1“,但我死活没找到在哪里修改,先记录下来,监控一下运行的情况再说。

    02
    领券