redis访问安全加固 - 单曲荨环

link管理

链接快照平台

输入网页链接，自动生成快照
标签化管理网页链接

Redis漏洞

Redis 可能执行过 FLUSHALL 方法，整个 Redis 数据库被清空

在 Redis 数据库中新建了一个名为 crackit（网上流传的命令指令）的键值对，内容为一个 SSH 公钥。

在 /root/.ssh 文件夹下新建或者修改了 authorized_keys 文件，内容为 Redis 生成的 db 文件，包含上述公钥，完成root权限获取。

满足以下条件Redis实例存在此安全隐患

Redis使用root用户启动

Redis未设置密码或密码过于简单

Redis允许任意地址连接，即bind 0.0.0.0

Redis未重命名或禁用config, flushdb/flushall,[bg]save等命令

使用默认端口6379（非强制）

加强Redis的安全性，提供以下安全规范。

备注：如果修改redis配置文件redis.conf，并且重启redis服务后生效。

Redis安全规范

禁止root用户启动redis

为 Redis 服务创建单独的用户和home目录，使用普通用户启动，安全性往往高很多；
业务程序永久别用root用户运行。

限制redis文件目录访问权限

设置redis的主目录权限为700；如果redis配置文件独立于redis主目录，权限修改为600，因为Redis密码明文存储在配置文件中。

$chmod 700 /var/lib/redis   #redis目录
$chmod 600 /etc/redis/redis.conf  #redis配置文件

开启redis密码，并设置高复杂度密码

redis没有实现访问控制这个功能，但是它提供了一个轻量级的认证方式，可以编辑redis.conf配置来启用认证。

redis因查询效率高，auth这种命令每秒能处理10w次以上，简单的redis的密码极容易为攻击者暴破。
requirepass至少长度20位以上，为方便可使用一个特殊串sha256sum命令生成64位的无特殊字符串。

$echo "dfasdERQEWRQEW31341dfadsfadsf" | sha256sum
af970b3691a0774b2a5adae1375e14cd9e5db3591564f0eb789c2324cc02362f  -

1、初始化Redis密码：

在配置文件中有个参数： requirepass 这个就是配置redis访问密码的参数；

比如 requirepass test123；

（Ps:需重启Redis才能生效）

redis的查询速度是非常快的，外部用户一秒内可以尝试多大150K个密码；所以密码要尽量长（对于DBA 没有必要必须记住密码）；

2、不重启Redis设置密码：

在配置文件中配置requirepass的密码（当redis重启时密码依然有效）。

 redis 127.0.0.1:6379> config set requirepass  ed4c39b015b0e46f074dbfd0a9a4ab278f63340a6d640999f25c68a932fef815

查询密码：

 redis 127.0.0.1:6379> config get requirepass
   (error) ERR operation not permitted

密码验证：

   redis 127.0.0.1:6379> auth ed4c39b015b0e46f074dbfd0a9a4ab278f63340a6d640999f25c68a932fef815
   再次查询：
   redis 127.0.0.1:6379> config get requirepass
   1) "requirepass"
   2) "ed4c39b015b0e46f074dbfd0a9a4ab278f63340a6d640999f25c68a932fef815"
   PS：如果配置文件中没添加密码 那么redis重启后，密码失效；
   3、登陆有密码的Redis：
   在登录的时候的时候输入密码：
 redis-cli -p 6379 -a ed4c39b015b0e46f074dbfd0a9a4ab278f63340a6d640999f25c68a932fef815
   先登陆后验证：
   redis-cli -p 6379
   redis 127.0.0.1:6379> auth ed4c39b015b0e46f074dbfd0a9a4ab278f63340a6d640999f25c68a932fef815
   AUTH命令跟其他redis命令一样，是没有加密的；阻止不了攻击者在网络上窃取你的密码；
   认证层的目标是提供多一层的保护。如果防火墙或者用来保护redis的系统防御外部攻击失败的话，外部用户如果没有通过密码认证还是无法访问redis的。
禁用或重命名危险命令
这个漏洞就利用config/save两个命令完成攻击 。 因redis无用户权限限制，建议危险的命令，使用rename配置项进行禁用或重命名，这样外部不了解重命名规则攻击者，就不能执行这类命令。
以下示例：redis.config文件禁用FLUSHDB、FLUSHALL两个命令；重命名CONFIG、SHUTDOWN命令，
添加一个特殊的后缀。 这样redis启动后，只能运行CONFIG_b9fc8327c4dee7命令，不能执行CONFIG命令。
# It is also possible to completely kill a command by renaming it into
# an empty string:
rename-command CONFIG CONFIG_b9fc8327c4dee7
rename-command SHUTDOWN SHUTDOWN_b9fc8327c4dee7
rename-command FLUSHDB ""  #禁用此命令
rename-command FLUSHALL ""  #禁用此命令
配置redis仅监听在本地地址
redis.conf配置文件：
bind 127.0.0.1 192.168.13.12
通常我都设置为bind 0.0.0.0，允许远程连接，但这是不安全的。修改后重启redis服务。
修改默认6379端口
redis.conf配置文件：
port 6666
默认端口为6379。
信任的内网运行，尽量避免有公网访问
redis自身只有一个密码控制访问，不能设置用户权限和IP限制。理论把redis运行在一个信任的网络环境中
1. 监控redis安全状态，cmdstat_auth cmdstat_flushdb/flushall监控报警。
2. Redis设计旨在提供高性能的KV服务，至少目前在权限访问控制和数据持久化方面比较弱化。所以禁止在Redis中存储或缓存敏感的明文数据。
3. 针对之前Redis版本，默认无bind和密码设置存在很大安全风险；Redis3.2版本提出新特性protected mode(保护模式)。
如果Redis在启动时，未开启bind和密码设置功能，只能通过回环地址本地访问，如果尝试远程访问redis，会提示以下错误：
DENIED Redis is running protected mode because protected mode is enabled,
no bind address was specified, no authentication password is requested to clients.
In this mode connections are only accepted from the loopback interface.
当然也可直接执行CONFIG SET protected-mode no，关闭保护模式。
4. redis cluster不支持密码。
redis相关命令
可执行文件
redis-server 
启动redis
redis-cli
redis命令行工具
redis-benchmark
基准测试工具
redis-check-aof
AOF持久化文件检测工具和修复工具
redis-check-dump
RDB持久化文件检测工具和修复工具
redis-sentinel
启动redis-sentinel
最常用到的是redis-cli
redis-cli -help 查看参数
redis-cli -h HOST -p PORT -a Password
redis-cli -h 127.0.0.1 -p 6379 -a test123
redis-cli -h HOST -p PORT COMMAND
$redis-cli -h 127.0.0.1-p 6379 get hello
"world"
关于命令这篇总结的比较好：https://www.cnblogs.com/kongzhongqijing/p/6867960.html
作者：zhoujie
出处：http://www.cnblogs.com/zhoujie/
本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接，不然我担心博客园找你算账😂
如果您觉得本文对你有帮助，请竖起您的大拇指右下角点推荐，也可以关注我😁