最新Redis未授權(quán)訪問漏洞，該如何守護Redis安全？

Redis是一個開源的使用ANSI C語言編寫、支持網(wǎng)絡(luò)、可基于內(nèi)存亦可持久化的日志型、Key-Value數(shù)據(jù)庫，并提供多種語言的API。近期，Redis被爆出存在通過主從復制從而Getshell的漏洞。

在Redis4.x以及以上版本中，因為新增了模塊功能，攻擊者可以通過構(gòu)造惡意代碼，使被攻擊的服務(wù)器加載惡意.so文件，如果redis-server以root權(quán)限啟動，使得惡意代碼能夠被執(zhí)行，攻擊者就可以在服務(wù)器上創(chuàng)建他想創(chuàng)建的任意文件，危害非常的大。

Redis作者的理念是“簡潔為美”，所以并沒有為Redis設(shè)計復雜的安全配置，那么要如何保證Redis的安全呢?

配置防火墻保護redis

通過配置防火墻防止外部用戶訪問它的redis端口。

不使用redis的默認端口

防止外部用戶訪問Redis，指定信任的Redis的IP，防止外部訪問，僅有可信的用戶IP才能訪問Redis端口。如果不禁止的話，當受到來自外部攻擊時很有可能所有的數(shù)據(jù)都將被刪除。

設(shè)置訪問redis時需要密碼授權(quán)

Redis對于經(jīng)典網(wǎng)絡(luò)的實例強制開啟密碼鑒權(quán)，用戶可以通過設(shè)置復雜的密碼避免密碼被攻破。需要注意的是，密碼的強度要設(shè)置足夠高，例如32位以上。redis的性能非常好，暴力破解密碼的話，每秒鐘可以達到15萬次。

使用禁用命令

在 Redis 中可以禁用命令或者將它們重命名成難以推測的名稱，這樣只有內(nèi)部用戶能夠這些重命名的名稱，而一般的用戶只能夠使用一部分命令。

對一些危險命令進行重命名，能夠防止惡意操作，相當于把命令名稱變?yōu)槊艽a，只有內(nèi)部人員知道。

Redis 在優(yōu)化高性能以及易用性上下功夫，對于安全方面并沒有極力去優(yōu)化。因此redis需要運行在安全的環(huán)境下，就要要做好redis外部的安全工作。

當前題目：最新Redis未授權(quán)訪問漏洞，該如何守護Redis安全？
文章起源：http://www.muchs.cn/news46/102896.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站設(shè)計公司、微信小程序、網(wǎng)站建設(shè)、自適應(yīng)網(wǎng)站、域名注冊、動態(tài)網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)