Redis数据库安全.pdf

2015谷安天下版权所有8/6/2018 1:44 PM第1页主讲：2015谷安天下版权所有8/6/2018 1:44 PM第2页 Redis是一个开源的、使用C语言编写的、支持网络交互的、可基于内存也可持久化的Key-Value数据库。并提供多种语言的API。其实Redis本质上也是一种键值数据库的，它在包车键值数据库简单快捷特点的同时，也吸收了部分关系型数据库的优点。Redis不仅能保存Strings类型的数据，还能保存Lists类型(有序)和Sets类型(无序)的数据，而且还能完成排序(SORT)等高级功能，在实现INCR，SETNX等功能的时候，保证了其操作的原子性，除此以外，还支持主从复制等功能。Redis以消息队列的形式存在，作为内嵌的List存在，满足实时的高并发需求。p Redis介绍 2015谷安天下版权所有8/6/2018 1:44 PM第3页 Redis优点 1.Redis能支持超过 100K+每秒的读写频率。2.Redis支持二进制案例的 Strings,Lists,Hashes,Sets 及 Ordered Sets 数据类型操作。3.Redis的所有操作都是原子性的，同时Redis还支持对几个操作全并后的原子性执行。4.Redis还支持 publish/subscribe,通知,key 过期等等特性 Redis缺点 数据库容量受到物理内存的限制,不能用作海量数据的高性能读写,因此Redis适合的场景主要局限在较 小数据量的高性能操作和运算上。p Redis介绍 2015谷安天下版权所有8/6/2018 1:44 PM第4页第一步：下载redis安装包rootiZwz991stxdwj560bfmadtZ local#wget http:/download.redis.io/releases/redis-4.0.6.tar.gz-2017-12-13 12:35:12-http:/download.redis.io/releases/redis-4.0.6.tar.gzResolving download.redis.io(download.redis.io).109.74.203.151Connecting to download.redis.io(download.redis.io)|109.74.203.151|:80.connected.HTTP request sent,awaiting response.200 OKLength:1723533(1.6M)application/x-gzipSaving to:redis-4.0.6.tar.gz 100%=1,723,533 608KB/s in 2.8s 2017-12-13 12:35:15(608 KB/s)-redis-4.0.6.tar.gz saved 1723533/1723533 2015谷安天下版权所有8/6/2018 1:44 PM第5页第二步：解压压缩包第三步：yum安装gcc依赖第四步：跳转到redis解压目录下第五步：编译安装第六步：测试是否安装成功 rootiZwz991stxdwj560bfmadtZ local#tar-zxvf redis-4.0.6.tar.gzrootiZwz991stxdwj560bfmadtZ local#yum-y install gccrootiZwz991stxdwj560bfmadtZ local#cd redis-4.0.6rootiZwz991stxdwj560bfmadtZ redis-4.0.6#make MALLOC=libcrootiZwz991stxdwj560bfmadtZ redis-4.0.6#cd src&make installrootiZwz991stxdwj560bfmadtZ src#./redis-server18685:C 13 Dec 12:56:12.507#oO0OoO0OoO0Oo Redis is starting oO0OoO0OoO0Oo.2015谷安天下版权所有8/6/2018 1:44 PM第6页第二步：解压压缩包第三步：yum安装gcc依赖第四步：跳转到redis解压目录下第五步：编译安装第六步：测试是否安装成功 rootiZwz991stxdwj560bfmadtZ local#tar-zxvf redis-4.0.6.tar.gzrootiZwz991stxdwj560bfmadtZ local#yum-y install gccrootiZwz991stxdwj560bfmadtZ local#cd redis-4.0.6rootiZwz991stxdwj560bfmadtZ redis-4.0.6#make MALLOC=libcrootiZwz991stxdwj560bfmadtZ redis-4.0.6#cd src&make installrootiZwz991stxdwj560bfmadtZ src#./redis-server18685:C 13 Dec 12:56:12.507#oO0OoO0OoO0Oo Redis is starting oO0OoO0OoO0Oo.2015谷安天下版权所有8/6/2018 1:44 PM第7页 默认情况下，redis-servier会以非daemon方式运行，默认服务端口为6379.p Redis运行权限和运行端口 2015谷安天下版权所有8/6/2018 1:44 PM第8页 Redis未授权访问漏洞描述：Redis 默认情况下，会绑定在 0.0.0.0:6379，这样将会将Redis服务暴露到公网上，如果在没有开启认证的情况下，可以导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。利用Redis自身的相关方法，可以进行写文件操作，攻击者可以成功将自己的公钥写入目标服务器的/root/.ssh 文件夹的authotrized_keys 文件中，进而可以直接登录目标服务器。Redis未授权访问漏洞危害：1.数据库数据泄露（Redis 作为数据库，保存着各种各样的数据，如果存在未授权访问的情况，将会导致数据的泄露，其中包含保存的用户信息等）2.代码执行（Redis可以嵌套Lua脚本的特性将会导致代码执行,危害同其他服务器端的代码执行）3.敏感信息泄露（通过 Redis 的 INFO 命令可以查看Redis 服务器的信息,有当前 Redis 版本,内存运行状态,服务端个数等等敏感信息。）p Redis未授权访问的危害 2015谷安天下版权所有8/6/2018 1:44 PM第9页 为redis添加密码验证在redis.conf中添加配置（Requirepass password）或是命令设置（CONFIG set password），由于redis性能极高，输入错误密码后redis不会进行主动延迟，所以攻击者可以在1秒内尝试十几万密码的穷举破解，所以建议密码复杂度和长度一定要高。更改redis默认端口在redis.conf中配置如下#port 6379 Port 8080（此端口可根据业务自定进行修改）p Redis安全配置 2015谷安天下版权所有8/6/2018 1:44 PM第10页 禁止外网访问 RedisRedis的默认配置会接受来自任何地址发送来的请求，即在任何一个拥有公网IP的服务器上启动Redis服务器，都可以被外界直接访问到。要更改这一设置，在配置文件中修改bind参数，如只允许本机应用连接Redis，可以将bind参数改成：bind 127.0.0.1 以低权限运行 Redis 服务为 Redis 服务创建单独的用户和家目录，并且配置禁止登陆#groupadd-r redis&useradd-r-g redis redis 禁止高危命令在redis.conf文件中添加rename-command FLUSHALL“”；rename-command CONFIG“”；rename-command EVAL p Redis安全配置 2015谷安天下版权所有8/6/2018 1:44 PM第11页 保证 authorized_keys 文件的安全将 authorized_keys 的权限设置为对拥有者只读，其他用户没有任何权限：$chmod 400/.ssh/authorized_keys为保证 authorized_keys 的权限不会被改掉，还需要设置该文件的 immutable 位权限：#chattr+i/.ssh/authorized_keys然而，用户还可以重命名/.ssh，然后新建新的/.ssh 目录和 authorized_keys 文件。要避免这种情况，需要设置./ssh 的 immutable 位权限：#chattr+i/.ssh 在系统中设置防火墙策略仅允许指定IP来访问redis服务p Redis安全配置北京谷安天下科技有限公司谷安天下公司主页：谷安培训教育网页：http:/安全意识产品网页：http:/产品解决方案网页：http:/谷安信息安全商城：http:/联系我们 400 070 6887感谢观看