Redis未授权访问安全隐患无处不在（redis未授权复现）

Redis未授权访问：安全隐患无处不在

Redis（Remote Dictionary Server）是一款开源的高性能key-value数据库，常用于Web应用、缓存、消息队列等场景，但在使用Redis时，许多开发者忽略了Redis的安全性问题，特别是未授权访问问题，这会给应用系统带来严重的安全隐患。

1.Redis未授权访问的原因

Redis未授权访问的原因很简单，就是Redis默认没有设置密码或未对其配置禁用某些功能，例如未限制外部IP对Redis服务端口的访问，从而使得攻击者可以轻易地访问Redis数据库，获取敏感数据或者破坏系统。

2.Redis未授权访问的危害

Redis未授权访问的危害极大，一旦攻击者获取到Redis数据库的控制权，就可以做很多事情，例如删除、修改、插入、查询数据等操作，也可以将恶意代码植入到数据中，进而改变应用的行为，甚至攻击整个服务器。

除此之外，Redis还可以作为中间人攻击工具，将攻击者与受害者之间的通信劫持，这样攻击者可以获取到敏感数据，例如用户的登录凭证、银行卡号等，对于企业或者个人造成不可挽回的损失。

3. 如何保护Redis未授权访问

（1）设置登陆密码

在Redis的配置文件中设置登陆密码，只允许知道密码才可以连接到Redis数据库。设置登陆密码的命令如下：

redis-cli config set requirepass password

（2）修改Redis默认端口

通常，Redis服务的默认监听端口是6379，我们可以通过修改该端口来避免Redis被恶意扫描。修改Redis的监听端口的命令如下：

redis-cli config set port 6378

（3）限制外网IP访问

我们可以通过iptables等工具，限制外网IP访问Redis服务器，这样就可以防止攻击者通过暴力破解密码等方式获取数据库的访问权。

下面是在Linux系统下，限制外网IP地址访问Redis服务端口的命令：

iptables -A INPUT -p tcp --dport 6379 -s 192.168.1.0/24 -j ACCEPT    # 允许内网访问
iptables -A INPUT -p tcp --dport 6379 -s 0.0.0.0/0 -j DROP            # 禁止外网访问

（4）禁用危险命令

我们可以设置Redis只能执行安全的命令，例如添加、删除、查询等操作，然而，有些命令可能由于配置错误、应用逻辑漏洞等原因导致系统被攻击，例如DEL、FLUSHDB等命令，因此我们可以通过修改Redis的配置文件禁用这些危险的命令。

例如，禁用FLUSHDB等命令的方法如下：

redis-cli config set protected-mode yes
redis-cli config set rename-command FLUSHDB ""

4. 检查Redis的安全性问题

最好的防御是检查，因此我们可以通过一些第三方工具对Redis的安全性状态进行检查，以发现未授权访问等问题。

（1）redis-check-aof和redis-check-dump命令

这些命令可以检查Redis的数据文件是否有误、损坏或者泄漏，如果有问题，我们可以及时排查和修复。

（2）nmap命令

nmap是一款开源的网络扫描工具，可以扫描Redis的端口和服务，以检查它们的安全性状况，例如是否需要密码验证，是否有远程访问等。

（3）Redis的安全扫描工具

目前市场上也有一些专门的Redis安全扫描工具，例如Redis-Audit，它可以扫描Redis数据库是否存在未授权访问、密码弱口令、权限配置等问题，并提供相应的修复建议。

综上，Redis未授权访问的安全隐患无处不在，对于开发者和运维人员而言，只有从危险中寻找安全，才能够最大程度地保护Redis数据库的安全性，确保应用系统的正常运转。