关于Redis未授权访问漏洞防范

最新推荐文章于 2025-03-27 13:00:26 发布
转载 最新推荐文章于 2025-03-27 13:00:26 发布 · 998 阅读 · 1
文章标签：

#Redis

本文提供了一套全面的Redis服务安全加固方案，包括禁止对公网开放、设置密码认证、限制访问IP、更改默认端口、禁用敏感指令及使用普通用户权限启动等措施。

【加固建议】

  1. 禁止Redis服务对公网开放，可通过修改redis.conf配置文件中的"#bind 127.0.0.1" ，去掉前面的"#"即可（Redis本来就是作为内存数据库，只要监听在本机即可）；
  2. 设置密码访问认证，可通过修改redis.conf配置文件中的"requirepass" 设置复杂密码 （需要重启Redis服务才能生效）；
  3. 对访问源IP进行访问控制，可在防火墙限定指定源ip才可以连接Redis服务器；
  4. 修改Redis默认端口，将默认的6379端口修改为其他端口；
  5. 禁用config指令避免恶意操作，在Redis配置文件redis.conf中配置rename-command项"RENAME_CONFIG"，这样即使存在未授权访问，也能够给攻击者使用config 指令加大难度；
  6. Redis使用普通用户权限，禁止使用 root 权限启动Redis 服务，这样可以保证在存在漏洞的情况下攻击者也只能获取到普通用户权限，无法获取root权限；
Redis未授权访问漏洞
weixin_45253622的博客
05-07 4193
Redis Redis是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、 Key-Value数据库。和Memcached类似，它支持存储的value 类型相对更多，包括 string(字符串)、list ( 链表)、 set(集合)、zset(sorted set – 有序集合)和 hash（哈希类型）。这些数据类型都支持push/pop 、 add/remove 及取交集并集和差集及更丰富的操作，而且这些操作都是原子性的。在此基础上， redis支持各种不同方式的排序。与 me
Redis未授权访问漏洞利用
weixin_65049289的博客
01-17 688
Redis未授权访问漏洞
redis未授权访问getshell
Jiajiajiang_的博客
08-02 5713
参考：https://blog.csdn.net/guxiaoguo/article/details/78913245 利用条件：linux，对方开启ssh 用到的工具：kali nmap redis 公司测试服务器：10.0.3.45 redis默认端口：6379 主要思路：利用redis未授权访问命令给root账户写入SSH公钥文件，然后通过SSH登录服务器 ...
Redis未授权访问漏洞复现与对应防护措施
qq_39330735的博客
11-29 1284
Redis因配置不当可以导致未授权访问，被攻击者恶意利用。当前流行的针对Redis未授权访问的一种新型攻击方式，在特定条件下，如果Redis以root身份运行，黑客可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器，可导致服务器权限被获取和数据删除、泄露或加密勒索事件发生，严重危害业务正常服务。（1）redis绑定在 0.0.0.0:6379，且没有进行添加防火墙规则避免其他非信任来源ip访问等相关安全策略，直接暴露在公网；
Redis未授权访问漏洞 介绍+利用+修改加固
ploto_cs的博客
04-30 1730
Redis未授权访问漏洞 最近在对外的渗透测试中挖到了一个Redis未授权访问漏洞，鉴于点到为止的原则，没有继续渗透下去，这篇文章特此介绍并复现该漏洞危害性。 一．漏洞介绍 Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访
云服务安装
qq_34033630的博客
08-14 634
修改MySQL密码： set password for root@localhost = password(‘11ea88sy@’);
Redis未授权访问漏洞vulhub靶场搭建及复现
THZLYXX的博客
12-25 412
7.执行以下命令显示Redis客户端命令的帮助信息。3.kali安装redis，先下载安装包。2.查看容器运行端口docker ps。1.进入vulhub拉取启动靶场。1.kali使用nmap进行扫描。3.连接成功使用info查看信息。4.解压安装包并进入目录。5.执行make进行编译。
Redis未授权访问漏洞实验
qq_60256199的博客
10-09 3615
Redis是一个开源的内存数据库管理系统，它被广泛用于缓存、消息队列和实时数据分析等应用场景。Redis支持多种数据结构，包括字符串、列表、集合、有序集合和哈希表，可以通过简单的键值对方式存储和检索数据。由于其高性能和低延迟特性，Redis常用于加速数据访问，提高应用程序的响应速度。此外，Redis还提供了持久化选项，允许数据在重启后仍然可用，使其适用于各种持久性存储需求。这一特性使得Redis成为了一个非常强大的数据存储和缓存解决方案，特别适用于需要快速读写操作的应用场景。
Redis未授权访问漏洞复现
热门推荐
马赛克的博客
04-10 1万+
一：漏洞简介和危害 Redis默认情况下，会绑定在0.0.0.0:6379，如果没有采用相关的策略，如配置防火墙规则避免其他非信任来源的IP访问，就会将Redis服务暴露在公网上； 如果没有设置密码认证（一般为空）的情况下，会导致任意用户可以访问目标服务器下未授权访问Redis以及读取Redis数据。 攻击者访问之后，利用Redis自身提供的config命令，可以进行写文件操作 可以成功把...
redis未授权访问
最新发布
欢迎大家，一起努力！
03-27 1103
Redis主从复制允许一个Redis服务器（主节点）将数据同步给一个或多个Redis服务器（从节点）。这个过程是自动的，通常用于数据备份、读写分离和故障转移等场景。
精选资源
E044-服务漏洞利用及加固-利用redis未授权访问漏洞进行提权.pdf
12-02
综上所述，了解和防范Redis未授权访问漏洞至关重要，因为这直接关系到服务器的安全。正确的配置、定期的安全审计和更新，以及限制网络暴露的服务都是防止此类攻击的有效措施。同时，对服务器进行常规的安全维护，...
精选资源
Redis未授权访问配合SSH key文件利用详解
01-19
【Redis未授权访问配合SSH key文件利用详解】 Redis是一个高性能的键值数据库，它支持网络交互，可以在内存中存储数据并可持久化。由于其高效和灵活的特性，Redis被广泛应用在各种场景中。然而，Redis的安全性问题...
redis未授权访问漏洞利用
weixin_33785108的博客
11-12 902
各位大佬好！好久没写过博客记录了，最近挖了个redis未授权访问漏洞，并利用了一番，在此，分享下这个鸡肋却能直接获得服务器权限的漏洞。 0x01:redis基础 Redis默认配置是不需要密码认证的，也就是说只要连接的Redis服务器的host和port正确，就可以连接使用。这在安全性上会有一定的问题，所以需要启用Redis的认证密码，增加Redis服务...
redis未授权访问导致远程登陆服务器
jameson_的专栏
06-16 717
背景平时看到redis未授权访问，没觉得有什么，今天偶然看到居然可以远程登录，这个厉害了。触发条件：root启动的redis，而且没给密码。实验环境靶机:ubuntu 192.168.52.129 攻击机:windows 192.168.52.1实验过程普通用户启动的情况 可以写入到/tmp目录 然后尝试写入到/root/.ssh/文件。 结果没有权限。root启动的情况先在windows生
redis 未授权访问漏洞
weixin_44769042的博客
11-01 820
漏洞复现记录--2 目录 一、实验相关配置 1.在靶机解压编译redis（编译需要gcc环境，yum -y install gcc） 2.进入提示的src目录安装redis 3.配置漏洞环境 4.攻击机主机发现 5.端口扫描（要关闭靶机防火墙 iptables -F） 6.版本信息扫描 7.攻击机安装redis 8.直接无密码连接 ./redis-cli -h 192.168.129.219 二、攻击姿势 1.利用redis写入webshell 2.使用crontab反弹she.
Redis 未授权访问的原理、危害及复现
新青年1号
01-03 2192
Redis 未授权访问准确的来说，其实并不是一个漏洞。而是由于开发人员配置不当，而产生的预料之外的危害
安装基础云服务器
black_zt666的博客
06-07 758
实验名称 安装基础云服务器 一、实验目的 1、查看服务器Server11的硬件配置； 2、为服务器Server11安装虚拟化系统Vsphere； 3、配置Server11的远程访问地址并实现客户端访问； 二、实验仪器设备及软件 实验主机：WIN7操作系统，服务器1台 虚拟机寄居架构：VMWare workstation 所需软件：Vmware vsphere client客户端 ESXI操作系 实验是否需要联网：是 其他设备：交换机，网线 三、实验内容与步骤 步骤一：选择自定义，点击确定后，选择VM12，选
安装云端服务器操作系统,安装云端服务器操作系统
weixin_39771987的博客
08-11 314
安装云端服务器操作系统 内容精选换一换SAP云服务器规格在申请SAP ECS之前，请参考SAP标准Sizing方法进行SAPS值评估，并根据Sizing结果申请云端ECS服务器资源，详细信息请参考SAP Quick Sizer。SAP 各组件最低硬盘空间、RAM，以及软件的最低需求请参考SAP官方文档SAP Installation Guides。SAP 应用服务器要求推荐的HANA云服务器规格S...
Redis 未授权访问漏洞修改redis配置文件
03-20
### 修改 Redis 配置文件防止未授权访问 为了有效防范 Redis 的未授权访问漏洞，可以通过调整配置文件 `redis.conf` 中的关键参数来增强安全性。以下是具体的措施： #### 1. 设置密码认证 启用密码保护功能可以阻止未经授权的客户端连接到 Redis 实例。通过设置 `requirepass` 参数指定一个强密码。 ```conf requirepass your_strong_password_here ``` 此操作会强制所有客户端在执行任何其他命令之前先调用 AUTH 命令并提供正确的密码[^1]。 #### 2. 绑定本地地址 默认情况下，Redis 可能绑定到所有网络接口上（0.0.0.0），这使得远程攻击者能够尝试连接服务。建议将 bind 参数更改为仅允许来自特定 IP 地址或 localhost (127.0.0.1) 的请求。 ```conf bind 127.0.0.1 ::1 ``` 上述配置限制了只有本机上的进程才能访问 Redis 数据库实例。 #### 3. 更改默认端口号 虽然更改默认端口并不能完全消除风险，但它确实增加了额外一层复杂度给潜在入侵者。标准做法是从常用的6379移至另一个不那么显眼的位置。 ```conf port 8379 ``` 注意替换这里的数值为你选定的新端号。 #### 4. 启动保护模式(protected-mode) 当服务器运行于独立主机而无防火墙隔离外部世界时, 开启 protected mode 是明智之举; 它会在接收到非localhost来源的数据包时自动拒绝处理. ```conf protected-mode yes ``` 这是自版本3以来引入的一项特性，默认开启状态有助于减少意外暴露的风险. #### 5. 使用防火墙规则进一步加固 除了依靠软件层面的安全设定外，还应该考虑部署硬件级或者操作系统级别的防护手段比如iptables等工具构建恰当的ACL列表只准许可信源IP发起通信行为。 以上各项策略综合运用可极大提升Redis系统的整体防御水平对抗恶意企图获取控制权的行为。 ```python # 示例 Python 脚本验证 Redis 密码是否生效 import redis r = redis.StrictRedis(host='localhost', port=6379, password='your_strong_password_here') try: r.ping() print("Connection successful with provided credentials.") except redis.AuthenticationError: print("Authentication failed!") ```
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值