建站
咨詢
售后
建站咨詢
新聞中心
范圍
隨著Web應(yīng)用的不斷變化和拓展，傳統(tǒng)服務(wù)的安全風(fēng)險(xiǎn)也不斷增加。Redis服務(wù)是一種著名的開源數(shù)據(jù)庫，既可以作為輕量級的存儲數(shù)據(jù)庫，也可以作為后端服務(wù)器提供服務(wù)，但很多IT安全工程師擔(dān)心，如果Redis服務(wù)被利用攻擊者攻擊，其安全風(fēng)險(xiǎn)可能會增加。
SSRF攻擊是Web應(yīng)用程序中常見的攻擊之一，它指的是攻擊者利用一些漏洞或者配置的漏洞，利用該漏洞將受影響的服務(wù)器或數(shù)據(jù)庫設(shè)置為遠(yuǎn)程服務(wù)器或數(shù)據(jù)庫，使其可以對其他內(nèi)網(wǎng)內(nèi)的服務(wù)器進(jìn)行攻擊或利用特殊的技術(shù)，以盜取其他內(nèi)網(wǎng)中的數(shù)據(jù)。利用這種攻擊，攻擊者可以將受影響的Redis服務(wù)范圍拓展到內(nèi)網(wǎng)服務(wù)器上。
SSRF攻擊一般使用相關(guān)代碼來進(jìn)行，代碼如下：
可以利用下面的代碼來進(jìn)行SSRF攻擊：
import httplib
import urlparse
url = ‘http://example.com/’
parsed = urlparse.urlparse(url)
conn = httplib.HTTPConnection(parsed.hostname, parsed.port)
conn.request(‘GET’, parsed.path)
resp = conn.getresponse()
if resp.status == 200:
print ‘SSRF attack is successful’
可以利用這一特性來拓展Redis服務(wù)范圍，可以在服務(wù)器上安裝任意一種Web服務(wù)，如Apache，Nginx等，借助SSRF技術(shù)，可以將這一服務(wù)拓展到內(nèi)網(wǎng)服務(wù)器，然后利用Redis服務(wù)來建立連接，得到服務(wù)器上內(nèi)網(wǎng)任何信息。
對于可能受SSRF攻擊影響的服務(wù)和系統(tǒng)，如果要增強(qiáng)安全，可以考慮采用明文協(xié)議，如HTTP，或者通過其他方式實(shí)現(xiàn)安全檢查。另外，還可以在Web容器中安全配置服務(wù)的通信，及時(shí)更新加固系統(tǒng)，以及增加服務(wù)器和網(wǎng)絡(luò)安全管理策略等措施，讓我們的信息資源更加安全。
成都服務(wù)器租用選創(chuàng)新互聯(lián)，先試用再開通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）提供簡單好用，價(jià)格厚道的香港/美國云服務(wù)器和獨(dú)立服務(wù)器。物理服務(wù)器托管租用：四川成都、綿陽、重慶、貴陽機(jī)房服務(wù)器托管租用。
文章名稱：利用SSRF攻擊拓展Redis服務(wù)（ssrf利用redis）
轉(zhuǎn)載注明：http://www.5511xx.com/article/dhjcope.html
