设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [8744] 2015-03-12_Redis数据库安全手册
返回列表 发新帖
查看: 0|回复: 0

[8744] 2015-03-12_Redis数据库安全手册

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 6 天前 | 显示全部楼层 |阅读模式
2015-03-12_Redis数据库安全手册 R e d i s 数 据 库 安 全 手 册 F r e e B u f   2 0 1 5 - 0 3 - 1 2 微 信 号 ： 微 信 号 ： f r e e b u f R e d i s 是 一 个 高 性 能 的 是 一 个 高 性 能 的 k e y - v a l u e 数 据 库 ， 这 两 年 可 谓 火 的 不 行 。 而 数 据 库 ， 这 两 年 可 谓 火 的 不 行 。 而 R e d i s 的 流 行 也 带 来 一 系 列 安 全 问 题 ， 不 少 攻 击 者 的 流 行 也 带 来 一 系 列 安 全 问 题 ， 不 少 攻 击 者 都 通 过 都 通 过 R e d i s 发 起 攻 击 。 本 文 将 讲 解 这 方 面 的 内 容 ， 包 括 发 起 攻 击 。 本 文 将 讲 解 这 方 面 的 内 容 ， 包 括 R e d i s 提 供 的 访 问 控 制 和 代 码 安 全 问 题 ， 以 及 可 以 由 恶 意 输 提 供 的 访 问 控 制 和 代 码 安 全 问 题 ， 以 及 可 以 由 恶 意 输 入 和 其 他 类 似 的 手 段 触 发 的 攻 击 。 入 和 其 他 类 似 的 手 段 触 发 的 攻 击 。 R e d i s 通 用 安 全 模 块 通 用 安 全 模 块 R e d i s 被 设 计 成 只 能 由 可 信 环 境 的 可 信 机 器 访 问 。 这 意 味 着 将 它 直 接 暴 露 在 互 联 网 或 者 其 他 可 以 由 不 可 信 机 器 通 过 T C P 或 者 U N I X   S C O K E T 直 接 连 接 的 环 境 中 。 例 如 ， 在 通 常 的 W E B 应 用 程 序 使 用 R e d i s 作 为 数 据 库 ， c a c h e , 或 者 消 息 系 统 。 W E B 应 用 程 序 的 客 户 端 将 查 询 R e d i s 生 成 页 面 或 执 行 请 求 或 由 用 户 触 发 。 在 这 个 例 子 中 ， W E B 应 用 链 接 了 R e d i s 和 不 可 信 的 客 户 端 。 这 是 一 个 特 定 的 例 子 ， 但 是 一 般 来 说 ， 不 授 信 的 R e d i s 链 接 应 该 被 监 控 ， 验 证 用 户 输 入 ， 再 决 定 执 行 什 么 样 的 操 作 。 因 为 ， R e d i s 追 求 的 不 是 最 大 的 安 全 性 ， 而 是 简 洁 与 高 效 。 网 络 安 全 网 络 安 全 R e d i s 链 接 应 该 对 每 个 受 信 的 客 户 端 开 放 。 所 以 ， 服 务 器 运 行 的 R e d i s 应 该 只 被 使 用 R e d i s 应 用 的 计 算 机 连 接 。 在 大 多 数 直 接 暴 露 在 互 联 网 的 单 个 计 算 机 ， 例 如 ， 虚 拟 化 的 L I N U X 实 例 （ L I N O D E ， E C 2 ， . . . . . ） R e d i s 端 口 应 该 被 防 火 墙 阻 止 来 自 外 部 的 访 问 。 客 户 端 应 该 仍 然 能 通 过 服 务 器 的 本 地 回 环 接 口 访 问 R e d i s 。 注 意 ， 通 过 在 R e d i s . C O N F 添 加 下 面 一 句 就 可 以 绑 定 本 地 回 环 ， 阻 止 外 网 访 问 了 。 b i n d   1 2 7 . 0 . 0 . 1 因 为 因 为 R e d i s 的 特 性 ， 没 有 对 外 网 访 问 进 行 限 制 会 是 一 个 很 重 大 的 安 全 问 题 。 例 如 一 条 简 单 的 的 特 性 ， 没 有 对 外 网 访 问 进 行 限 制 会 是 一 个 很 重 大 的 安 全 问 题 。 例 如 一 条 简 单 的 F L U S H A L L 命 令 就 能 被 攻 命 令 就 能 被 攻 击 者 用 来 删 除 整 个 数 据 设 置 。 击 者 用 来 删 除 整 个 数 据 设 置 。 身 份 验 证 机 制 身 份 验 证 机 制 如 果 你 们 不 想 使 用 访 问 限 制 的 话 ， R e d i s 提 供 了 一 个 身 份 验 证 功 能 ， 可 以 通 过 编 辑 R e d i s . C O N F 文 件 来 实 现 它 。 如 果 开 启 了 身 份 验 证 功 能 ， R e d i s 将 拒 绝 所 有 的 未 身 份 验 证 的 客 户 端 的 所 有 操 作 。 客 户 端 可 以 发 送 A U T H 命 令 + 密 码 来 验 证 自 己 。
密 码 是 由 系 统 管 理 员 在 R e d i s 。 C O N F I G 文 件 中 设 置 的 明 文 密 码 ， 为 了 防 止 暴 力 破 解 攻 击 他 应 该 足 够 长 。 原 因 有 两 个 ： R e d i s 的 执 行 效 率 非 常 快 ， 外 部 设 备 每 秒 可 以 测 试 相 当 数 量 的 密 码 R e d i s 的 密 码 是 存 储 在 R e d i s . c o n f 文 件 和 内 部 客 户 端 的 配 置 中 的 ， 因 此 不 需 要 管 理 员 记 住 。 所 以 可 以 使 用 相 当 长 的 密 码 。 身 份 验 证 的 目 标 是 提 供 第 二 层 的 安 全 保 障 。 这 样 当 防 火 墙 或 者 其 他 第 一 层 的 系 统 安 全 设 置 失 效 的 话 ， 一 个 外 部 设 备 在 没 有 密 码 的 情 况 下 仍 然 不 能 访 问 r e d i a 。 A U T H 命 令 像 其 他 的 r e d i a 命 令 一 样 是 不 加 密 传 输 的 ， 所 以 他 不 能 阻 止 攻 击 者 在 内 网 的 窃 听 。 数 据 加 密 支 持 数 据 加 密 支 持 R e d i s 不 支 持 加 密 。 为 了 受 信 的 客 户 端 可 以 以 加 密 形 式 通 过 互 联 网 可 以 采 用 加 密 协 议 （ S S L ） 传 输 数 据 。 禁 用 特 定 的 命 令 禁 用 特 定 的 命 令 禁 用 R e d i s 的 一 些 命 令 是 可 行 的 ， 或 者 将 他 们 改 名 。 这 样 来 自 客 户 端 的 请 求 就 只 能 执 行 有 限 的 命 令 。 例 如 ， 虚 拟 的 服 务 器 提 供 商 可 能 提 供 托 管 的 R e d i s 服 务 。 在 这 种 情 况 下 ， 普 通 用 户 不 应 该 能 够 调 用 R e d i s 的 配 置 命 令 来 修 改 该 配 置 实 例 ， 但 提 供 和 删 除 服 务 的 系 统 能 够 有 这 样 的 权 限 。 在 这 种 情 况 下 ， 从 命 令 表 中 重 命 名 命 令 或 者 完 全 隐 藏 命 令 是 可 能 的 。 这 个 功 能 可 用 在 在 这 种 情 况 下 ， 从 命 令 表 中 重 命 名 命 令 或 者 完 全 隐 藏 命 令 是 可 能 的 。 这 个 功 能 可 用 在 R e d i s . c o n f 配 置 文 件 里 做 为 一 个 配 置 文 件 里 做 为 一 个 声 明 。 例 如 ： 声 明 。 例 如 ： r e n a m e - c o m m a n d   C O N F I G   b 8 4 0 f c 0 2 d 5 2 4 0 4 5 4 2 9 9 4 1 c c 1 5 f 5 9 e 4 1 c b 7 b e 6 c 5 2 在 上 面 的 例 子 里 ， 在 上 面 的 例 子 里 ， C O N F I G 命 令 被 更 名 为 一 个 更 为 陌 生 的 名 字 。 它 也 完 全 可 以 被 重 命 名 成 空 字 符 串 ， 例 如 ： 命 令 被 更 名 为 一 个 更 为 陌 生 的 名 字 。 它 也 完 全 可 以 被 重 命 名 成 空 字 符 串 ， 例 如 ： r e n a m e - c o m m a n d   C O N F I G   " " 由 精 密 的 输 入 触 发 的 攻 击 由 精 密 的 输 入 触 发 的 攻 击 还 有 一 类 攻 击 ， 攻 击 者 即 使 没 有 获 得 数 据 库 的 访 问 权 限 也 可 以 从 外 部 发 起 攻 击 。 一 个 此 类 攻 击 的 例 子 是 通 过 R e d i s 的 内 部 函 数 向 R e d i s 里 插 入 数 据 。 攻 击 者 可 以 通 过 一 个 w e b 表 单 将 一 组 字 符 串 提 交 到 一 个 h a s h 的 同 一 个 堆 栈 ， 引 起 时 间 复 杂 度 从 O （ 1 ） 到 O ( n )   , 消 耗 更 多 的 C P U 资 源 ， 最 终 导 致 D O S 攻 击 。 为 了 防 止 这 种 特 定 的 攻 击 方 式 ， R e d i s 为 每 个 执 行 请 求 随 机 分 配 h a s h 。 R e d i s 使 用 快 速 排 序 算 法 来 执 行 S O R T 命 令 。 目 前 ， 这 个 算 法 不 是 随 机 的 ， 所 以 通 过 对 输 入 的 精 细 控 制 可 能 触 发 命 令 的 二 次 执 行 。 字 符 串 转 义 和 字 符 串 转 义 和 N O S Q L 注 入 注 入 R e d i s 协 议 里 面 没 有 字 符 串 转 义 相 关 的 内 容 ， 所 以 在 通 常 情 况 下 是 不 存 在 注 入 的 。 R e d i s 协 议 使 用 的 是 前 缀 长 度 的 字 符 串 ， 完 全 二 进 制 ， 保 证 安 全 性 。 L U A 脚 本 执 行 E V A L 和 E V A L S H A 命 令 时 遵 循 相 同 的 规 则 ， 因 此 这 些 命 令 也 是 安 全 的 。 然 而 这 回 事 一 个 非 常 奇 怪 的 用 例 ， 应 用 程 序 应 该 避 免 使 用 L U A 脚 本 获 取 来 自 非 信 任 源 的 字 符 串 。 代 码 安 全 性 代 码 安 全 性 在 经 典 的 R e d i s   设 置 里 ， 客 户 端 可 以 执 行 所 有 的 命 令 集 ， 但 是 获 得 的 用 例 应 该 永 远 不 能 导 致 有 控 制 R e d i s 所 在 系 统 的 能 力 。 内 在 的 ， R e d i s 使 用 众 所 周 知 的 安 全 代 码 规 范 来 防 止 缓 冲 区 溢 出 ， 格 式 错 误 和 其 它 内 存 损 坏 问 题 。 然 而 ， 客 户 端 拥 有 控 制 使 用
服 务 器 配 置 命 令 C O N F I G 的 能 力 使 得 其 能 够 改 变 程 序 的 工 作 目 录 和 转 储 文 件 的 名 称 。 这 允 许 客 户 端 写 R D B   R e d i s 在 随 机 路 径 写 文 件 。 这 是 一 个 安 全 问 题 ， 容 易 导 致 客 户 端 有 R e d i s 运 行 非 法 代 码 的 能 力 。 R e d i s 不 需 要 r o o t 权 限 运 行 ， 也 不 建 议 以 r o o t 权 限 运 行 。 R e d i s 的 作 者 正 在 调 查 添 加 一 条 新 的 配 置 参 数 来 防 止 C O N F I G   S E T / G E T 目 录 和 其 他 类 似 的 运 行 时 配 置 的 指 令 的 可 能 性 。 这 会 阻 止 客 户 端 强 制 服 务 器 在 任 意 位 置 写 R e d i s 转 储 文 件 。 G P G   k e y 安 全 研 究 人 员 可 以 在 G i t h u b 提 交 问 题 ， 当 你 感 觉 这 个 安 全 问 题 真 的 很 重 要 ， 在 文 档 的 末 尾 加 上 G P G 标 识 。 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:37 , Processed in 0.159325 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表