Redis安全配置和未授权访问写

最新推荐文章于 2025-07-22 11:28:04 发布
原创 最新推荐文章于 2025-07-22 11:28:04 发布 · 置顶 · 913 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#漏洞

本文介绍了Redis在默认配置下可能存在的安全风险，如未授权远程访问。通过设置requirepass来添加密码保护，使用nobody用户启动Redis服务，并修改nobody用户的shell以增强安全性。同时提醒必须对Redis进行安全配置，以防止任意文件被写入的漏洞。

0x00

Redis 作为分布式数据库的一种 在安装后有时为了进行远程管理 会将bind 127.0.0.1 同时没有设置密码是非常危险的 能轻易导致服务器被攻破

0x01 Redis安全配置

CONFIG set requirepass "hellocarl"   设置密码 （一定要复杂）

su -m nobody -c redis-server  使用nobody启动redis 

vim /etc/passwd 

找到 nobody:x:99:99:Nobody:/:/sbin/nologin  

 改为nobody:x:99:99:Nobody:/:/bin/bash

后保存执行su -nobody  这样可永nobody用户进行远程管理

0x02 Reids 未授权访问漏洞

 





到这 任意文件被写入了


所以 一定要对Redis进行安全配置

最低0.47元/天 解锁文章
Redis 未授权访问漏洞
MZLI_L的博客
11-08 3745
文章目录Redis未授权访问漏洞利用写文件上传文件写计划任务（没有成功）额外遇到的问题Bind多个IP失败 Redis未授权访问漏洞 简介 利用redis配置不当，或弱密码（反正就是能拿到redis的权限），然后利用redis做一系列操作。 利用 写文件 知识点 命令：CONFIG GET dir 获取数据库的存储路径（文件将会保存的地方,当然可以使用SET进行设置，如果有权限的话） 命令：CONFIG GET dbfilename 获取数据库文件名，默认是dump.rdb（通过SET设置为webshell
Linux：阿里云 ECS Redis 安全设置
木头
10-27 916
博客地址：http://www.lsk-ww.cn:8080添加链接描述 1、打开保护模式 redis默认开启保护模式。要是配置里没有指定bind和密码，开启该参数后，redis只能本地访问，拒绝外部访问。 redis.conf安全设置： # 打开保护模式 protected-mode yes 2、开启Redis密码认证，添加复杂密码 redis在redis.conf配置文件中，设置配置项req...
Redis缓存数据库安全加固指导（一）
weixin_30810239的博客
08-21 437
背景 在众多开源缓存技术中，Redis无疑是目前功能最为强大，应用最多的缓存技术之一，参考2018年国外数据库技术权威网站DB-Engines关于key-value数据库流行度排名，Redis暂列第一位，但是原生Redis版本在安全方面非常薄弱，很多地方不满足安全要求，如果暴露在公网上，极易受到恶意攻击，导致数据泄露和丢失。 本文主要是在原生开源软件Redis3.0基础上，系统的在安全特性方面...
【Redis安全基线】- 在生产环境中需要注意的安全事项
XuanRan的博客
10-11 2722
Redis是一个高性能的键值存储数据库，但在实际使用中，如果没有适当的安全措施，可能会面临严重的安全风险。本文将介绍几种加强Redis安全性的最佳实践，包括防止弱口令、限制危险命令、修改默认端口等。
Web安全和渗透测试有什么关系？
Python_0011的博客
03-31 3843
做渗透测试的一个环节就是测试web安全，需要明白漏洞产生原理，通过信息收集互联网暴露面，进行漏洞扫描，漏洞利用，必要时进行脚本自编写和手工测试，力求挖出目标存在的漏洞并提出整改建议，当然如果技术再精一些，还要学习内网渗透（工作组和域环境），白盒审计，app，小程序渗透那些了......可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。总之，web安全包含于渗透测试，但不是渗透测试的全部。
redis未授权访问等
尘玥的故事
06-13 552
redis 默认情况下，绑定在 0.0.0.0:6379，若没有采用相关的策略，如添加防火墙规则避免其他非信任来源 ip 访问等，会将 redis 服务暴露到公网上。如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 redis 以及读取 redis 的数据。
Redis未授权访问
npc88888的博客
05-09 3065
在 Reids 4.x 之后，Redis新增了模块功能，通过外部拓展，可以实现在redis中实 现一个新的Redis命令，通过c语言编译并加载恶意.so文件，达到代码执行的目的。更改目标服务器Redis备份路径为ssh公钥存放目录（一般默认为/root/.ssh）：config set dir /root/.ssh。原文链接：https://blog.youkuaiyun.com/weixin_45605352/article/details/118790775。进入/root/.ssh目录: 将生成的公钥保存到。
Redis未授权访问配合SSH key文件利用详解
09-09
总的来说，理解并实施这些安全最佳实践对于保护Redis服务器免受未授权访问和相关攻击至关重要。在云环境中尤其需要注意，因为配置错误可能导致更大的安全风险。通过严格的安全策略和持续的监控，可以显著降低Redis...
Redis未授权访问漏洞复现
weixin_55123346的博客
06-26 1651
Redis漏洞复现
安全基线
weixin_34162228的博客
03-31 402
http://www.e-gov.org.cn/wangluoanquan/news004/201408/151491.html
安全基线检查表
11-16
包含：路由器、交换机、防火墙、ESXI、F5、IIS7、Linux、Oracle、solaris、sqlserver、windows基线检查
系统安全配置技术规范-Apache（基线加固）
05-28
人工评估（手工检查）是对工具评估的一种补充, 它不需要在被评估目标系统上安装任何软件，对目标系统的运行和状态没有任何影响，在不允许安装软件进行检查的重要主机上显得非常有用。安全专家对各主机系统、服务器、业务系统、数据库以及各种应用服务器在内的目标系统进行人工评估。
【读书笔记】Redis安全基线配置
最新发布
tpriwwq的专栏
07-22 881
摘要：本文介绍了Redis数据库的7项关键安全配置措施：1)禁止使用root用户启动；2)设置配置文件权限为600；3)修改默认6379端口；4)开启密码认证并设置复杂密码；5)禁用危险命令；6)限制监听内网IP；7)启用保护模式。这些措施涉及访问控制、身份认证、入侵防范等多个安全维度，能有效防范未授权访问、暴力破解等常见攻击。配置时需修改redis.conf文件并重启服务，建议管理员根据实际环境合理实施这些安全加固方案。（149字）
Redis安全部署规范与安全基线
鸭梨山大。
12-17 339
Redis安全部署规范与安全基线
Redis六项安全加固标准配置（阿里云标准安全基线检查）
chaishen10000的专栏
05-13 3250
一、限制redis 配置文件访问权限 | 文件权限 描述 因为redis密码明文存储在配置文件中，禁止不相关的用户访问改配置文件是必要的，设置redis配置文件权限为600, 加固建议 执行以下命令修改配置文件权限： chmod 600 /<filepath>/redis.conf 操作时建议做好记录或备份 二、修改默认6379端口 | 服务配置 描述 避免使用熟知的端口,降低被初级扫描的风险 加固建议 编辑文件redis的配置文件redis.conf，找到包含port的行，将默认的6379修改
Redis安全基线问题处理
wbxshi的博客
07-10 586
（1）创建redis用户组、用户（3）切换redis用户，启动redis服务。
Redis安全配置
CheerTan is here
06-10 640
先把链接贴上来： 限制访问网段 https://zhuanlan.zhihu.com/p/46467265 https://wangtingwei.info/?p=540 https://www.cnblogs.com/ysocean/p/9074787.html https://www.runoob.com/redis/redis-conf.html ...
redis连接不上，查看进程gpg-agentd刷爆CPU，恭喜你，你被挖矿了
mengruobaobao的博客
03-19 2283
最近发现有一台测试服务器的redis连接不上，查看进程，发现CPU200%之前遇到过类似的，第一感觉就是被入侵了。IO 情况、网络流量、内存情况、系统日志、啥也不看了，直接看crontab 定时任务crontab -l 一下看定时任务列表把定时任务删掉 crontab -r杀掉所有进程 kill -9 25286 处理结束1.漏洞描述Redis 因配置不当存在未授权访问漏洞，可以被攻击者恶意利用...
9-4 redis基线检查
weixin_43263566的博客
11-14 567
因此，在线上的Redis中，必须考虑禁用一些危险的命令，或者尽量避免任何人都可以使用这些命令。请注意，在修改端口后，确保相应的防火墙或网络设备也进行了相应的调整，以允许新的端口通过。在执行操作时，建议记录所做的更改，并定期备份Redis的配置文件和数据，以备恢复需要。在执行操作时，建议记录所做的更改，并定期备份Redis的配置文件和数据，以备恢复需要。在执行操作时，建议记录所做的更改，并定期备份Redis的配置文件和数据，以备恢复需要。在执行操作时，请确保谨慎，并确认对应的文件路径和权限设置。
Redis未授权访问与SSH key利用分析
"Redis未授权访问配合SSH key文件利用详解" ...理解Redis的安全风险并采取适当的防护措施至关重要，以防止未授权访问导致的数据泄露和服务器被黑。对于已经暴露的Redis服务，应立即检查并修复配置，确保系统的安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值