阿里云ECS服务器风险整改项

Redis相关

开启redis密码认证,并设置高复杂度密码

redis在redis.conf配置文件中，设置配置项requirepass， 开户密码认证。 redis因查询效率高，auth这种命令每秒能处理9w次以上，简单的redis的密码极容易为攻击者暴破。

打开redis.conf，找到requirepass所在的地方，修改为指定的密码，密码应符合复杂性要求：
1、长度8位以上
2、包含以下四类字符中的三类字符:
英文大写字母(A 到 Z)
英文小写字母(a 到 z)
10 个基本数字(0 到 9)
非字母字符(例如 !、$、#、%、@、^、&)
3、避免使用已公开的弱密码，如：abcd.1234 、admin@123等

再去掉前面的#号注释符，然后重启redis

---

禁止使用root用户启动

使用root权限去运行网络服务是比较有风险的（nginx和apache都是有独立的work用户，而redis没有）。redis crackit 漏洞就是利用root用户的权限来替换或者增加authorized_keys，来获取root登录权限的

使用root切换到redis用户启动服务:
$ sudo useradd -s /sbin/nolog -M redis
$ sudo chown -R redis:redis /<redis-server-path>
$ sudo -u redis /<redis-server-path>/redis-server /<configpath>/redis.conf

---

修改默认6379端口

避免使用熟知的端口,降低被初级扫描的风险

编辑文件redis的配置文件redis.conf，找到包含port的行，将默认的6379修改为自定义的端口号，然后重启redis

---

限制redis 配置文件访问权限

因为redis密码明文存储在配置文件中，禁止不相关的用户访问改配置文件是必要的，设置redis配置文件权限为600

执行以下命令修改配置文件权限：
$ sudo chmod 600 /<filepath>/redis.conf

---

禁用或者重命名危险命令

Redis中线上使用keys *命令，也是非常危险的。因此线上的Redis必须考虑禁用一些危险的命令，或者尽量避免谁都可以使用这些命令，Redis没有完整的管理系统，但是也提供了一些方案。

修改 redis.conf 文件，添加
rename-command FLUSHALL ""
rename-command FLUSHDB  ""
rename-command CONFIG   ""
rename-command KEYS     ""
rename-command SHUTDOWN ""
rename-command DEL ""
rename-command EVAL ""

然后重启redis。 重命名为"" 代表禁用命令，如想保留命令，可以重命名为不可猜测的字符串，如： rename-command FLUSHALL joYAPNXRPmcarcR4ZDgC

---

Memcached相关

禁止使用root用户启动

使用root权限运行网络服务存在很大的风险，应避免使用root权限用户直接运行memcached服务

$ sudo useradd memcached -M -s /sbin/nologin
$ memcached -u memcached -p <port> -l <监听ip> -m 64m -c 512 &

---

确保禁用memcache的UDP支持

攻击者可以利用memcache的UDP支持进行Memcache UDP 反射放大攻击，实施DDoS攻击

Memcached 启动时，建议添加“-U 0”参数可完全禁用 UDP
memcached -u memcached -p <port> -U 0 -l <监听ip> -m 64m -c 512

---

禁止监听在公网

Memcache服务器端都是直接通过客户端连接后直接操作，没有任何的验证过程。如果服务器直接暴露在互联网上非常危险，存在极大的数据泄漏风险和服务被入侵风险

在启动memcache时使用-l选项将memcache的监听主机指定为本机或是内网ip

---

持续更新…