建站
咨詢
售后
建站咨詢
新聞中心
Redis 危險(xiǎn)：未經(jīng)授權(quán)上傳公鑰
成都創(chuàng)新互聯(lián)公司成立于2013年，是專業(yè)互聯(lián)網(wǎng)技術(shù)服務(wù)公司，擁有項(xiàng)目成都做網(wǎng)站、網(wǎng)站建設(shè)網(wǎng)站策劃，項(xiàng)目實(shí)施與項(xiàng)目整合能力。我們以讓每一個(gè)夢想脫穎而出為使命，1280元陽東做網(wǎng)站,已為上家服務(wù),為陽東各地企業(yè)和個(gè)人服務(wù),聯(lián)系電話:18980820575
Redis 是一種基于鍵值對保存數(shù)據(jù)的內(nèi)存數(shù)據(jù)庫，常用于緩存服務(wù)器和數(shù)據(jù)處理等實(shí)時(shí)性要求較高的場景中。然而，近日業(yè)內(nèi)安全研究人員發(fā)現(xiàn)了 Redis 存在一種危險(xiǎn)行為，即未經(jīng)授權(quán)上傳公鑰的現(xiàn)象。
在 Redis 中，用戶可以通過配置文件中的 SSH-authorized-keys 選項(xiàng)添加公鑰以實(shí)現(xiàn)遠(yuǎn)程登錄操作。這一選項(xiàng)的存在可以方便管理員進(jìn)行 Redis 的集群管理以及數(shù)據(jù)備份操作等。但是，如果該選項(xiàng)被濫用，攻擊者就可以輕易地上傳自己的公鑰并遠(yuǎn)程控制 Redis 服務(wù)器。
具體來說，攻擊者可以先通過漏洞或弱口令等手段獲取 Redis 服務(wù)器的訪問權(quán)限，然后通過該權(quán)限在 Redis 配置文件中添加自己的公鑰。接著，攻擊者就可以通過 ssh 協(xié)議登錄 Redis 服務(wù)器，甚至可以通過該服務(wù)器進(jìn)一步攻擊其它內(nèi)部系統(tǒng)。
為了避免 Redis 被濫用，開發(fā)者們需要注意以下幾點(diǎn)：
1. 限制 Redis 訪問權(quán)限，盡可能避免使用默認(rèn)端口和弱密碼等風(fēng)險(xiǎn)較高的設(shè)置。
2. 禁用 ssh-authorized-keys 選項(xiàng)，僅允許通過密碼登錄 Redis 服務(wù)器。
3. 定期檢查 Redis 配置文件，查看是否存在誤上傳公鑰的情況。
4. 加強(qiáng) Redis 監(jiān)控，及時(shí)發(fā)現(xiàn)任何異常行為。
5. 及時(shí)更新 Redis 版本，避免已知漏洞的攻擊。
下面是一個(gè)簡單的 Python 腳本，用于檢查 Redis 配置文件中是否有 ssh-authorized-keys 規(guī)則：
import re
import os
ssh_auth_keys_pattern = re.compile("""^\s*ssh-authorized-keys\s+(.*)\s*$""")
redis_conf_path = "/etc/redis/redis.conf"
with open(redis_conf_path, "r") as fp:
content = fp.read()
ssh_auth_keys_match = ssh_auth_keys_pattern.search(content)
if ssh_auth_keys_match:
print("WARNING: Redis ssh-authorized-keys found in {0}".format(redis_conf_path))
print(ssh_auth_keys_match.group(1))
如果運(yùn)行上述腳本后輸出了警告信息，說明存在 Redis 存在配置風(fēng)險(xiǎn)。此時(shí)，管理員需要立即修改 Redis 配置文件以確保 Redis 安全。
Redis 是一種強(qiáng)大的內(nèi)存數(shù)據(jù)庫，但在使用時(shí)需要注意安全性。管理員們需要及時(shí)更新 Redis 版本，限制 Redis 訪問權(quán)限，加強(qiáng) Redis 監(jiān)控等措施，以確保 Redis 不被攻擊者濫用。
成都服務(wù)器租用選創(chuàng)新互聯(lián)，先試用再開通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）提供簡單好用，價(jià)格厚道的香港/美國云服務(wù)器和獨(dú)立服務(wù)器。物理服務(wù)器托管租用：四川成都、綿陽、重慶、貴陽機(jī)房服務(wù)器托管租用。
標(biāo)題名稱：Redis 危險(xiǎn)未經(jīng)授權(quán)上傳公鑰（redis未授權(quán)上傳公鑰）
分享網(wǎng)址：http://www.5511xx.com/article/cosiggs.html
