[安全公告] Redis Crackit 入侵事件通告

vps网友提供 11-11 讨论归档 38

近日曝出大规模利用 Redis 漏洞进行入侵的事件，会给用户的 Redis 运行环境以及 Linux 主机造成安全风险，请可能被漏洞影响的用户仔细阅读本文，并做相应的处理。

容易遭受入侵的环境

用户自建的运行了 Redis 服务的 Linux 主机，并在公网上开放了 6379 的 Redis 端口

入侵现象

Redis 可能被执行过 flushall 命令
Redis 内建了名为 crackit 的 key
Redis 的 dir 参数指向了 /root/.ssh
/root/.ssh/authorized_keys 被覆盖或者包含 Redis 相关的内容

修复办法

以非 root 权限启动 Redis
增加 Redis 密码验证
禁止公网开放 Redis 端口, 例如可以在青云防火墙上禁用 6379 Redis 的端口
检查 authorized_keys 是否非法

温馨提示：青云提供的 Redis 服务是运行在私有网络中的，并且已经考虑了安全加固措施，同时提供密钥验证的配置，不会受到该漏洞的影响，请用户放心使用。

关于入侵事件的更多详情还可以参见：https://nosec.org/bobao/redis_crackit

另外，有任何其他问题可以工单与我们联系。

QingCloud 技术团队

本文由 vps网友提供，转载请注明出处

本文链接： https://www.vpsvsvps.com/discuss/a/1676471721852407808.html

标签:

Cloudee

11-11

@raysmond 我感觉就算 bind 127.0.0.1 ，也有本地提权的风险，比如本地的某个 nobody 用户上跑的危险比较大的程序被黑了，通过 127.0.0.1 连上 redis 相当于可以以 root 身份任意写文件了

raysmond

11-11

@est 我就想知道怎么做到的

iyangyuan

11-11

端口都不改，被黑怪谁

facert

11-11

1. 增加 Redis 密码验证基本能被暴力破解，因为 redis 太快了，每秒钟 12k 的速度。。。
2. 禁止 root 用户登录，也可以猜测用户名，风险还是有的。
3. 可以修改 redis 的默认端口 6379 ，配置 rename-command CONFIG "RENAME_CONFIG", 这样即使存在未授权访问, 也能够给攻击者使用 config 指令加大难度
4. 如果 redis 只在本机需要访问，还是设置 bind 127.0.0.1 吧

xshell

11-11

没做安全设置啊··~~

iugo

11-11

@est 看来开发者学一些运维常识是必要的.

est

11-11

@raysmond 这个思路，出问题是迟早的。

安全的攻防对抗，防守是只要漏一点，全盘皆输。攻击是只要突破一点，全盘皆赢。安全问题不是你只跑 localhost 就能高枕无忧的事。

Defenders think in lists. Attackers think in graphs.

kn007

11-11

自用的 VPS ，
1.一直以非 root 权限启动 Redis
2.从未开放公网 Redis 端口