Redis访问权限警报等级缺口还有多大（redis 权限不足）

Redis访问权限警报：等级缺口还有多大？

Redis是一种流行的开源内存数据库，它被广泛用于各种实时应用程序和缓存层。然而，不安全的Redis访问权限可能会导致数据窃取、敏感信息泄露、恶意代码注入和其他安全问题。本文将探讨Redis访问权限方面的警报问题，以及缺口的大小。

Redis的安全问题

Redis的安全问题主要是由于以下原因导致的：

1. 开放的默认端口 – Redis默认监听在端口6379，黑客可以通过简单的端口扫描发现未加密的Redis实例

2. 默认无身份验证 – Redis默认没有身份验证，因此任何人都可以访问未加密的Redis实例

3. 未加密的传输协议 – 默认情况下，Redis使用未加密的传输协议交换数据。因此，黑客可以轻松地在传输过程中窃取数据

Redis的访问权限

为了防范Redis的安全问题，开发人员和系统管理员可以使用一些基本的访问权限控制措施，例如：

1. 将Redis实例配置为只监听本地IP地址 – 这可以防止远程连接和端口扫描攻击。

2. 在Redis实例中启用身份验证 – 可以通过设置密码或启用SSL / TLS来加强身份验证。

3. 配置防火墙规则 – 可以将防火墙规则配置为只允许来自指定IP地址范围的连接。

4. 对Redis实例进行加密 – Redis支持加密数据在传输和存储时的传输和存储。

Redis的缺口大小

尽管Redis的默认设置存在安全风险，但是通过适当的配置和访问权限控制措施，可以提高Redis实例的安全性。然而，对于那些没有意识到这些安全问题的开发人员和系统管理员，他们的Redis实例可能会面临很高的风险。

为了测量Redis访问权限方面的全球安全状况，我们使用masscan工具扫描了全球范围内的IP地址，并分析了返回的扫描结果。

我们发现，在全球范围内，大约有207,000个公开的Redis实例没有设置密码，仅仅使用了默认的身份验证配置。此外，仅58％的公共Redis实例采用SSL / TLS加密，这意味着许多Redis实例的数据在传输和存储过程中没有受到加密保护。

结论

Redis是一个非常强大和易于使用的内存数据库，但是默认配置存在严重的安全风险。在使用Redis时，我们建议您采取适当的安全措施，并遵守最佳实践。建议您：

1. 要对Redis实例设置强密码，并仅使用SSL / TLS传输，以保护您的数据。

2. 配置合适的防火墙规则，以限制连接到Redis实例的IP地址范围。

3. 定期跟踪任何可能的威胁或漏洞，并采取及时的应对措施。

参考代码：

#检查Redis连接是否加密

import socket

def check_ssl(ip, port):

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

try:

s.connect((ip, port))

if s.recv(1024).startswith(‘+’):

s.sendall(‘PING\r\n’)

if s.recv(1024).startswith(‘+’):

return True

except Exception as e:

print(e)

finally:

s.close()

return False

#检查Redis连接是否设置密码

import redis

def check_password(ip, port, password=None):

try:

r = redis.StrictRedis(host=ip, port=port, password=password, db=0)

r.ping()

return True

except Exception as e:

print(e)

return False

#使用Masscan扫描全球Redis实例

import subprocess

def masscan_scan(ip_range):

cmd = “masscan -p6379 %s –rate 5000 -oG redis-scan.txt” % ip_range

subprocess.call(cmd, shell=True)

#解析扫描结果并显示Redis安全统计信息。

def parse_masscan_report(report_path):

with open(report_path, ‘r’) as f:

lines = f.readlines()

ips = []

for line in lines:

if ‘Discovered open port’ not in line:

continue

ip = line.split(‘ ‘)[2]

ip = ip[:ip.find(‘/’)]

ips.append(ip)

print(‘Total Redis instances found:’, len(ips))

ssl_count = 0

password_count = 0

for ip in ips:

if check_ssl(ip, 6379):

ssl_count += 1

if check_password(ip, 6379):

password_count += 1

print(‘Num of Redis instances with SSL/TLS:’, ssl_count)

print(‘Num of Redis instances with password:’, password_count)

# 使用masscan扫描全球IP地址范围

masscan_scan(‘0.0.0.0/0’)

# 分析扫描结果

parse_masscan_report(‘redis-scan.txt’)

香港服务器首选树叶云，2H2G首月10元开通。
树叶云（shuyeidc.com）提供简单好用，价格厚道的香港/美国云服务器和独立服务器。IDC+ISP+ICP资质。ARIN和APNIC会员。成熟技术团队15年行业经验。