CVE-2025-49844 — Scanner und Lernleitfaden für CVE-2025-49844 (RediShell), eine Use-after-Free-Schwachstelle im Redis-Lua-Scripting. Prüft Redis-Server auf Gefährdung, bietet Abhilfemaßnahmen und erläutert die Exploit-Mechanik zu Lernzwecken. | Kitploit

# Einen Server prüfen
./rscan -host your-server.com -port 6379

# Mit Passwort prüfen (falls du eins hast)
./rscan -host your-server.com -port 6379 -auth deinpasswort

# Mehrere auf einmal prüfen
./rscan -host server1.com,server2.com,server3.com

# Oder aus einer Datei prüfen
./rscan -file hosts.txt

# Lua-Skripte deaktivieren (das stoppt den Angriff)
redis-cli ACL SETUSER default -@scripting

# Oder deine redis.conf-Datei bearbeiten und diese Zeile hinzufügen:
disable-commands eval evalsha

# Dann Redis neu starten
sudo systemctl restart redis

# Nur bestimmten IPs erlauben, sich mit Redis zu verbinden
iptables -A INPUT -p tcp --dport 6379 -s 10.0.0.0/8 -j ACCEPT
iptables -A INPUT -p tcp --dport 6379 -j DROP

# Redis nur auf bestimmten Netzwerkschnittstellen lauschen lassen
bind 127.0.0.1 10.0.0.100

# Ein starkes Passwort setzen
redis-cli CONFIG SET requirepass "fuckredis1234ilovehacking!"

# Benutzer mit eingeschränkten Berechtigungen erstellen
redis-cli ACL SETUSER appuser on >passwort +@read +@write -@scripting
redis-cli ACL SETUSER readonly on >passwort +@read -@scripting

# Zuerst deine Daten sichern (immer machen!)
sudo cp -r /var/lib/redis /var/lib/redis.backup.$(date +%Y%m%d)

# Redis auf die behobene Version aktualisieren
# Auf Ubuntu/Debian:
sudo apt update && sudo apt install redis-server=8.2.2*

# Auf CentOS/RHEL:
sudo yum update redis

# Prüfen, ob es funktioniert hat
redis-server --version

# Sehen, ob Redis aus dem Netzwerk erreichbar ist
nmap -p 6379 dein-redis-server

# Testen, ob ein Passwort erforderlich ist
redis-cli -h dein-redis-server -p 6379 ping
# Sollte nach einem Passwort fragen

# Nach seltsamer Lua-Skriptaktivität suchen
grep -i "eval\|evalsha" /var/log/redis/redis.log

# Nach fehlgeschlagenen Anmeldeversuchen suchen
grep -i "auth" /var/log/redis/redis.log

# Nach Skriptfehlern suchen
grep -i "script" /var/log/redis/redis.log

-- Das dient nur dazu, dir zu zeigen, wie die Struktur aussieht
local function create_memory_pattern()
    -- Objekte erstellen, die mit der Speicherbereinigung von Redis herumspielen
    local objects = {}
    for i = 1, 1000 do
        objects[i] = {data = "pattern_" .. i}
    end
    return objects
end

local function trigger_gc()
    -- Redis dazu zwingen, den Speicher zum falschen Zeitpunkt aufzuräumen
    collectgarbage("collect")
    -- Hier passiert der Speicher-Bug
end

-- Hauptangriffsstruktur
local objects = create_memory_pattern()
-- Mit Speicherreferenzen herumspielen
-- Garbage Collection erzwingen
-- Den kaputten Speicher nutzen, um Code auszuführen

# Einen Test-Redis starten (dieser ist anfällig)
docker run -d --name redis-test -p 6379:6379 redis:6.0

# Testen
cd scanner
./rscan -host localhost -port 6379

# Den anfälligen stoppen und einen behobenen starten
docker stop redis-test
docker run -d --name redis-fixed -p 6379:6379 redis:6.0 redis-server --rename-command EVAL "" --rename-command EVALSHA ""
./rscan -host localhost -port 6379

# Aufräumen, wenn du fertig bist
docker stop redis-fixed && docker rm redis-fixed

CVE-2025-49844

Beliebteste

🚨 CVE-2025-49844 (RediShell) - Vollständiger Leitfaden

⚠️ Nur zum Lernen, nicht zum Hacken ;) ⚠️

Worum geht es hier?

Das Wichtigste

Los geht's!

Schritt 1: Das Ding bauen

Schritt 2: Deine Server prüfen

Schritt 3: Reparieren, was kaputt ist

Was bedeuten die Ergebnisse?

Wie dieser Speicher-Bug funktioniert

Das Problem

Wie Hacker das nutzen

So behebst du das

Das jetzt sofort tun (erste 24 Stunden)

Schnellfix (Stoppe den Angriff jetzt!)

Dein Netzwerk absichern

Ordentliche Passwörter einrichten

Redis aktualisieren (Die eigentliche Lösung)

Testen, ob dein Fix wirklich funktioniert

Sicherstellen, dass Skripte blockiert sind

Deine Netzwerksicherheit prüfen

So erkennst du diesen Angriff

Anzeichen in deinem Netzwerk

Anzeichen auf deinem Server

Deine Logs prüfen

Wie schwer ist das auszunutzen?

Es ist ziemlich kompliziert (wenn du nicht weißt, was los ist)

Wie echte Exploits aussehen

Wie schlimm ist das wirklich?

Was passiert, wenn du gehackt wirst

Was das für dein Unternehmen bedeutet

Lass uns technisch werden

Welche Teile von Redis sind kaputt

Wie der Speicher kaputt geht

Welche Versionen sind betroffen

Wie Exploits aussehen (Zum Lernen)

Grundstruktur (Das wird nicht wirklich funktionieren)

So schützt du dich

Dein Netzwerk absichern

Kontrollieren, wer Zugriff hat

Auf Probleme achten

Willst du das sicher testen?

Ausgefallenes Zeug (Falls du es willst)

Alle Optionen

Mehrere Server scannen

Schneller machen

Was du brauchst

Falls dein Upgrade alles kaputtmacht

Rechtliches

Quellen !!