Redis 默认情况下，会绑定在 0.0.0.0:6379，这样将会将Redis服务暴露到公网上，如果在没有开启认证的情况下，可以导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。攻击者在未授权访问Redis的情况下可以利用Redis的相关方法，可以成功将自己的公钥写入目标服务器的 /root/.ssh 文件夹的authotrized_keys 文件中，进而可以直接登录目标服务器。
解决方案
临时解决方案
- 配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379.
- 配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中.
- 配置rename-command CONFIG “RENAME_CONFIG”, 这样即使存在未授权访问, 也能够给攻击者使用config指令加大难度
- 好消息是Redis作者表示将会开发”real user”，区分普通用户和admin权限，普通用户将会被禁止运行某些命令，如config
原文转载：http://blog.jobbole.com/94518/
相关推荐
Celery 4.0 Redis未授权访问+Pickle反...Celery 版本默认使用Pickle进行任务消息的序列化传递，当所用队列服务（比如Redis、RabbitMQ、RocketMQ等等等）存在未授权访问问题时，可利用Pickle反序列化漏洞执行任意代码。
Redis 默认情况下，会绑定在 0.0.0.0:6379，这样将会将 Redis 服务暴露到公网上，如果在没有开启认证的情况下，可以导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未...
CVE-2014-4210+Redis 未授权访问CVE-2014-4210+Redis 未授权访问安装pip install -r requirements.txt使用usage: SSRFX.py [-h] [--url URL] [--threads THREADS] [--app APP] [--network NETWORK] [--type TYPE] [-...
python编写的redis未授权访问漏洞检测脚本
这可能导致未授权的远程访问。此外，如果`protected-mode`设置为`no`，则防护模式被禁用，增加了风险。 2. **安全配置Redis**：为了防止未授权访问，应限制Redis监听的IP地址，例如将其绑定到特定的内部IP，而不是...
未授权访问Redis可能导致敏感数据泄露或被恶意利用，因此，运维人员必须确保配置正确，限制网络访问，启用身份验证，并定期更新安全策略。例如，可以通过设置`requirepass`参数来启用密码保护，防止未经授权的访问。...
将生成的目录保存到 kitty.txt远程登陆redis命令获得当前备份路径的命令设置备份路径的命令config set dir /root/.ssh设置上传公
Redis-Getshellhttps://youtu.be/Qa4rE1Hr0vchttps://b23.tv/am71ti其中的p参数为了区分端口P我将其更改为aRedis 未授权检测、密码爆破、Webshell 写入、SSH 公私钥写入、定时计划重启Shell用法python3 ...
Redis，全称Remote Dictionary Server，是一款开源的、高性能的键值对存储系统，常被用作数据缓存、消息中间件以及数据库等角色。在Windows系统下安装和使用Redis，可以为应用程序提供高速的数据访问能力，提升系统...
1. **Redis未授权访问**：Redis是一种内存数据存储系统，若未设置正确的访问控制，可能导致数据被任意读写，甚至被用来执行命令注入攻击。 2. **MongoDB未授权访问**：MongoDB数据库若未配置认证，可能导致数据大...
在Windows操作系统中，为了方便管理和操作Redis数据库，出现了许多桌面管理工具，其中"redis_desk_manager"就是一个专为Windows设计的Redis数据访问工具。这个工具提供了图形化的用户界面，使得对Redis数据库的操作...
阿里云redis集群公网访问，百分之百成功率。亲自试验，详细步骤。
- Redis官方并未直接提供Windows版本，但可以通过微软开发的开源项目`ms-redis`或使用第三方工具如`Redis-x64`进行安装。 - `ms-redis`在GitHub上可获取，它是一个原生的Windows版本，适合大型企业级应用。 - `...
控制访问Redis的IP是指限制哪些IP地址可以访问Redis服务器。默认情况下，Redis服务器监听所有IP地址，为了提高安全性，我们需要限制哪些IP地址可以访问Redis服务器。 要控制访问Redis的IP，我们需要修改Redis配置...
注意是windows 64位系统才可使用，不支持windows 32位系统使用 已经在Win10，Win11，Windows server 2012系统测试运行可用 使用步骤注意事项： 一、修改Redis的持久化数据库文件dump.rdb保存路径，绝对路径的方式...
Redis是一款高性能的键值对数据存储系统，常用于构建分布式缓存、消息队列和实时数据分析等场景。作为一款开源的内存数据结构存储系统，它支持多种数据结构，如字符串、哈希表、集合、有序集合等，这些数据结构的...
比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis...