前言
????由于以前內(nèi)網(wǎng)的redis都是無密碼的，會有各種安全漏洞，并且近日集團IT郵件通告所有安裝了redis的都需要改造。否則將通報...，為了避免有漏網(wǎng)之魚，我們使用了nmap結(jié)合自帶的redis腳本進行掃描。
? ??近日,安全中心監(jiān)測到近期黑客利用Redis 未授權(quán)訪問配合 SSH key對Redis數(shù)據(jù)庫進行遠程攻擊，已有部分主機利用，攻擊者可利用該漏洞可獲取主機的root權(quán)限，進行非法操作，如：執(zhí)行服務(wù)器命令、關(guān)機服務(wù)器、刪除服務(wù)器程序、停止進程等，危害極高
?為避免您的業(yè)務(wù)受影響，請務(wù)必對所管轄的Redis數(shù)據(jù)庫進行安全自查，及時進行更新修復(fù)，避免被攻擊者入侵。【漏洞概述】?????? ? ?Redis 默認(rèn)情況下，會綁定在 0.0.0.0:6379，這樣將會將 Redis 服務(wù)暴露到公網(wǎng)、內(nèi)網(wǎng)，如果在沒有開啟認(rèn)證的情況下，可以導(dǎo)致任意用戶在可以訪問目標(biāo)服務(wù)器的情況下未授權(quán)訪問 Redis 以及讀取 Redis 的數(shù)據(jù)。攻擊者在未授權(quán)訪問 Redis 的情況下可以利用 Redis 的相關(guān)方法，可以成功在 Redis 服務(wù)器上寫入公鑰，進而可以使用對應(yīng)私鑰直接登錄目標(biāo)服務(wù)器進行其它非法操作 ，等同于拿到root權(quán)限。
?????? ??Redis 安全模型是: “請不要將 Redis 暴露在公開網(wǎng)絡(luò)中, ,在內(nèi)網(wǎng)的Redis，請配置相關(guān)認(rèn)證因為讓不受信任的用戶接觸到 Redis 是非常危險的”
【己知存在漏洞主機】
己知存在漏洞的主機：DMZ區(qū)4臺，內(nèi)網(wǎng)109臺，很多內(nèi)網(wǎng)都通過反向代理發(fā)布在互聯(lián)網(wǎng)，同樣存在高危風(fēng)險 ，統(tǒng)一都需要修復(fù)。(詳細(xì)存在漏洞清單請看附件)
【風(fēng)險等級】?????? 高風(fēng)險 （存在主機被黑風(fēng)險）【漏洞風(fēng)險】? ?? ? ?可被攻擊者獲取主機root權(quán)限，【修復(fù)建議】? ?1、禁止主機以root權(quán)限啟動Redis服務(wù)，???
2、配置bind選項，限定可以連接Redis服務(wù)器的IP，修改 Redis 的默認(rèn)端口6379
3、配置認(rèn)證，也就是AUTH，設(shè)置密碼，密碼會以明文方式保存在Redis配置文件中
??請各產(chǎn)品經(jīng)理組織人員進行自查，并在二周內(nèi)修復(fù)，安全部門將在后續(xù)進行排查、通報。
經(jīng)過幾天的風(fēng)風(fēng)火火改造完成，但是還有些機器可能會殘留一個“無密碼”的redis服務(wù)，所以便要進行機器IP：端口掃描。
機器列表分兩批：
1、普通內(nèi)網(wǎng)：10.xxx.xxx.xxx網(wǎng)段，工作本機可以隨意訪問； （可以使用可視化的zenmap進行掃描）
2、DMZ隔離網(wǎng)：172.xxx.xxx.xxx網(wǎng)段，工作本機要開通策略才可以訪問端口，但172.內(nèi)的機器可以相互訪問。
如果使用了本地的zenmap進行掃描那些沒申請開通“網(wǎng)絡(luò)策略”的機器，則會被顯示filtered
3、隨意找一臺dmz機器下載最新的nmap，使用命令行方式執(zhí)行：自帶腳本?--script redis-info
A：下載?curl -O https://nmap.org/dist/nmap-7.60.tar.bz2
B：解壓 tar -xvf nmap-7.60.tar.bz2
C：1、執(zhí)行 ./configure；2、執(zhí)行?make；3、執(zhí)行?make install?
D： ./nmap -p 6379 --script redis-info 172.16.14.220
注：執(zhí)行行nmap 如提示無腳本的，請查看當(dāng)前的版本，一般最新版本官方都自帶常用的腳本。
查看版本：nmap -v
nmap參考：
