建站
咨詢
售后
建站咨詢
新聞中心
警惕Redis未授權漏洞：執(zhí)行掃描工具檢測!
Redis是一種高性能的Key-Value數(shù)據(jù)庫系統(tǒng)，可用于緩存、消息隊列等多種應用場景。但是，由于其默認配置存在嚴重的安全漏洞，即未授權訪問漏洞，使得攻擊者可以輕松入侵系統(tǒng)，對環(huán)境和數(shù)據(jù)造成巨大威脅。在這篇文章中，我們將探討Redis未授權漏洞的原因和危害，并提供一種常用的掃描工具幫助檢測和修復Redis未授權訪問漏洞。
Redis未授權訪問漏洞的原因
Redis默認配置中允許任何人通過開放的6379端口直接連接到服務器，并獲取或修改所有的Redis數(shù)據(jù)，這意味著攻擊者只需在互聯(lián)網(wǎng)上發(fā)現(xiàn)一個開放的Redis實例，就能夠不受限制地執(zhí)行攻擊操作。通過這種方式可以輕松入侵財務系統(tǒng)、電商平臺等重要系統(tǒng)，并且不會留下任何痕跡。
危害
– 通過獲得Redis命令執(zhí)行權限，攻擊者可以刪除、更改、竊取敏感信息，也可以在Redis服務器上執(zhí)行任意命令和程序，從而向其他服務器和內(nèi)網(wǎng)發(fā)動攻擊。
– 大量占用Redis內(nèi)存空間，導致系統(tǒng)崩潰等故障。
如何檢測并修復Redis未授權漏洞？
為檢測Redis的未授權訪問漏洞，我們可以使用一些流行的掃描工具，例如：nmap、redis-cli等。
1. 使用nmap進行端口掃描如下所示:
“`bash
nmap -sS -p 6379 -vv -n -Pn
如果Redis未授權訪問漏洞存在，您將看到以下輸出：
PORT STATE SERVICE
6379/tcp open redis
|_redis-stat: NOAUTH authentication required.
2. 使用redis-cli進行檢測如下所示:
```bash
redis-cli -h -p 6379 info
如果您看到以下輸出，請注意：
# Server
redis_version:5.0.5
redis_git_sha1:db5b5aef
redis_git_dirty:0
redis_build_id:9c2a96d30289c6d8
redis_mode:standalone
os:Linux 3.10.0-957.el7.x86_64 x86_64
arch_bits:64
multiplexing_api:epoll
atomicvar_api:atomic-builtin
gcc_version:4.8.5
process_id:60
run_id:b34034d088b7cd17881f534a9a3ba0cfced73cd5
tcp_port:6379
uptime_in_seconds:35830
uptime_in_days:0
hz:10
lru_clock:3785281
executable:/usr/bin/redis-server
config_file:/etc/redis/6379.conf
# Clients
connected_clients:1
client_recent_max_input_buffer:2
client_recent_max_output_buffer:0
blocked_clients:0
# memory
used_memory:2157240
used_memory_human:2.06M
used_memory_rss:3246592
used_memory_rss_human:3.10M
used_memory_peak:2386656
used_memory_peak_human:2.28M
used_memory_peak_perc:90.51%
used_memory_overhead:941288
used_memory_startup:787352
used_memory_dataset:1215952
used_memory_dataset_perc:81.32%
total_system_memory:16695502848
total_system_memory_human:15.54G
used_memory_lua:37888
used_memory_lua_human:37.00K
maxmemory:949782272
maxmemory_human:905.53M
maxmemory_policy:noeviction
mem_fragmentation_ratio:1.51
mem_allocator:jemalloc-4.0.3
# Persistence
loading:0
rdb_changes_since_last_save:0
rdb_bgsave_in_progress:0
rdb_last_save_time:1578463041
rdb_last_bgsave_status:ok
rdb_last_bgsave_time_sec:-1
rdb_current_bgsave_time_sec:-1
rdb_last_cow_size:0
AOF_enabled:0
aof_rewrite_in_progress:0
aof_rewrite_scheduled:0
aof_last_rewrite_time_sec:-1
aof_current_rewrite_time_sec:-1
aof_last_bgrewrite_status:ok
aof_last_write_status:ok
aof_current_size:0
aof_rewrite_buffer_length:0
aof_pending_rewrite:0
aof_buffer_length:0
aof_rewrite_buffer_size:0
aof_pending_bio_fsync:0
aof_delayed_fsync:0
# Stats
total_connections_received:3
total_commands_processed:3
instantaneous_ops_per_sec:0
total_net_input_bytes:77
total_net_output_bytes:3207
instantaneous_input_kbps:0.00
instantaneous_output_kbps:0.00
rejected_connections:0
sync_full:0
sync_partial_ok:0
sync_partial_err:0
expired_keys:0
evicted_keys:0
keyspace_hits:0
keyspace_misses:0
pubsub_channels:0
pubsub_patterns:0
latest_fork_usec:2839
migrate_cached_sockets:0
# Replication
role:master
connected_slaves:0
master_replid:3b3e3469c42ad4ada4e8247d1b1194d4c2b84c43
master_replid2:0000000000000000000000000000000000000000
master_repl_offset:0
second_repl_offset:-1
repl_backlog_active:0
repl_backlog_size:1048576
repl_backlog_first_byte_offset:0
repl_backlog_histlen:0
# CPU
used_cpu_sys:7.969995
used_cpu_user:5.220002
used_cpu_sys_children:0.000000
used_cpu_user_children:0.000000
# Cluster
cluster_enabled:0
# Keyspace
如果沒有看到 NOAUTH 錯誤，此時Redis存在未授權訪問漏洞，需要進行修復操作。
修復Redis未授權漏洞
解決Redis未授權漏洞的方法是使用Redis訪問控制，通常有以下兩種方法：
方法一：修改Redis配置文件
# vim redis.conf
bind 127.0.0.1
requirepass
修改Redis配置文件完畢后請重啟Redis服務,`/etc/rc.d/init.d/redis restart`。
方法二：使用redis-cli命令
進入redis-cli控制臺，然后運行以下命令：
“`bash
auth
如果認證成功，Redis將返回 OK 消息。此時Redis的未授權訪問已經(jīng)得到了限制。
結論
通過上述方法，我們可以簡單地檢測和修復Redis的未授權訪問漏洞，加強對Redis安全的防范。建議定期對本地和云端的Redis服務進行掃描，及時了解數(shù)據(jù)庫的安全狀況，以保證數(shù)據(jù)的安全性和完整性。
成都創(chuàng)新互聯(lián)科技公司主營:網(wǎng)站設計、網(wǎng)站建設、小程序制作、成都軟件開發(fā)、網(wǎng)頁設計、微信開發(fā)、成都小程序開發(fā)、網(wǎng)站制作、網(wǎng)站開發(fā)等業(yè)務，是專業(yè)的成都做小程序公司、成都網(wǎng)站建設公司、成都做網(wǎng)站的公司。創(chuàng)新互聯(lián)公司集小程序制作創(chuàng)意，網(wǎng)站制作策劃，畫冊、網(wǎng)頁、VI設計，網(wǎng)站、軟件、微信、小程序開發(fā)于一體。
文章標題：警惕Redis未授權漏洞執(zhí)行掃描工具檢測（redis未授權掃描工具）
網(wǎng)頁路徑：http://fisionsoft.com.cn/article/dpgdsge.html
