redis 安全措施修改

Redis是一套开源的使用ANSIC编写、支持网络、可基于内存亦可持久化的日志型、键值存储数据库，并提供多种语言的API。Redis默认情况下会开启6379端口，在未开启认证的情况下，可导致任意用户在可以访问目标服务器的情况下未授权访问Redis，读取Redis的数据。该漏洞在较早前就已经被发现，而近期研究者给出了更为危险的利用方法。攻击者可利用Redis的相关方法，将自己的公钥写入目标服务器 /root/.ssh 文件夹的authotrized_keys文件中，进而可以直接登录目标服务器。CNVD对该漏洞的综合评级为“高危”。

生产环境中经常要设置redis的登陆密码，来保证数据的安全。

1. 查看redis进程：ps -ef | grep redis

2. 根据上一步可以获取redis的进程pid，如果对环境不熟悉，可以通过lsof -p:pid 的方式获取该redis进程的部署路径

3. 根据得到的部署路径进入redis

1. 通过info replication命令，可以确认该redis是否为集群；如果是单节点部署参考本节如下步骤：

2. 修改redis.conf文件，增加 【 requirepass  password】

-- 关闭redis

redis-cli -h ip -p port shutdown

-- 启动redis

redis-server /usr/local/redis/redis.conf &

-- 登陆并验证redis

redis-cli -h ip -p port

> keys * (这会提示没有权限)

>auth password

>keys *

基本同上。配置修改注意：

从库：masterauth password

从库：masterauth password

哨兵配置文件：sentinel auth-pass mymaster password

注意：auth-pass 配置要在 monitor的配置下面

集群模式下，所有节点的配置文件均需要增加：

## SECURITY ##

requirepass "password"

## REPLICATION ##

masterauth "password"

查看集群信息：cluster info；cluster nodes;

集群启停：分别修改各个redis节点，在启动各个redis节点即可

参数说明：

masterauth

当master服务设置了密码保护时，slav服务连接master的密码

requirepass password

设置Redis连接密码，如果配置了连接密码，客户端在连接Redis时需要通过AUTH 命令提供密码，默认关闭

slaveof

设置当本机为slave服务时，设置master服务的IP地址及端口，在Redis启动时，它会自动从master进行数据同步

sentinel auth-pass mymaster password

哨兵模式的配置

禁止远程使用一些高危命令

修改 redis.conf 文件，添加

rename-command FLUSHALL ""

rename-command FLUSHDB ""

rename-command CONFIG ""

rename-command KEYS ""

rename-command SHUTDOWN ""

rename-command DEL ""

rename-command EVAL ""

Redis监听在0.0.0.0，可能导致服务对外或内网横向移动渗透风险，极易被黑客利用入侵

bind 127.0.0.1或者内网IP

redis默认开启保护模式。要是配置里没有指定bind和密码，开启该参数后，redis只能本地访问，拒绝外部访问

protected-mode yes

附阿里云redis基线：供参考