redis 安全漏洞防御一、端口安全(限制客户端ip以及修改密码)置redis密码 找到requirepass，设置新的密码将 redis 启动在 127.0.0.1 上 一般建议方案是将 redis 启动在 127.0.0.1 上 但是这种方式不能跨服务器访问，一般方式是将 Redis 放到内网，防止公网检测。如果服务部署在公有云上，需要对 Redis 服务器设置防火墙 redis设置防火墙本人
转载
2023-09-02 19:01:03
6阅读
## APScheduler和Cron表达式结合Redis实现任务调度
### 简介
APScheduler是一个功能强大的Python库，用于在指定时间执行任务。它支持多种调度方式，包括固定时间间隔调度、Cron表达式调度等。同时，APScheduler还提供了持久化存储来保存任务信息，以便在应用重启后能够继续执行已安排的任务。
Redis是一个高性能的内存数据库，它也可以用作消息队列。通
原创
2023-07-19 13:17:12
268阅读
# 查看 Redis Cron
在进行 Redis 数据库管理与维护时，我们经常需要定期执行一些任务，例如清理过期的数据、备份数据库等。为了方便管理这些定期任务，我们可以使用 Redis Cron。
## 什么是 Redis Cron？
Redis Cron 是一个基于 Redis 的分布式定时任务调度器。它允许用户在 Redis 的哈希表中定义多个定时任务，并在预定的时间点自动执行这些任务
原创
2024-02-02 09:37:43
30阅读
# 科普文章：Redis Cron Shell
在现代软件开发中，大多数应用程序都需要定期执行一些任务，比如数据备份、日志清理、统计报告生成等。为了实现这些定时任务，开发人员通常会使用cron（定时任务调度器）来设置定时任务。然而，有时候我们希望在定时任务执行时能够更好地管理任务状态、监控任务执行情况等。这时候，可以考虑使用Redis结合cron和shell脚本来实现更灵活的定时任务管理。
#
原创
2024-06-12 06:12:06
25阅读
Redis未授权访问漏洞Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。漏洞的危害（1）攻击者无需认证访问到内部数据，可能导致
转载
2023-05-25 11:04:59
269阅读
1.未授权访问2.获取webshell3.获取root4.通过redis提权5.其他的一些利用6.redis安全配置测试环境 CentOS 6.5 x64Redis介绍 Redis是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库。和Memcached类似，它支持存储的value类型相对更多，包括string(字符串)、l
转载
2023-07-20 17:12:58
106阅读
Redis未授权访问引出的利用方式redis未授权访问的成因和危害定义成因危害操作演示环境搭建redis未授权通过redis未授权写入webshell通过redis未授权写入计划任务反弹shell通过redis未授权实现ssh-keygen 公钥登录服务器参考资料 redis未授权访问的成因和危害定义redis未授权访问是一个由于redis服务版本较低其未设置
转载
2023-08-15 07:31:40
285阅读
Redis未授权访问导致远程命令执行是比较久的漏洞了，15年11月左右爆出来的。这个洞在内网的时候比较多，外网暴露6379端口的比较少，但是我们公司服务器中过一次招，所以本文对这个漏洞做一个总结。
1.Redis相关介绍
Redis是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Redis是一个key-value存储系统。它包括string(字符串)、list(链表)
转载
2023-05-30 21:55:46
510阅读
Redis未授权访问漏洞最近在对外的渗透测试中挖到了一个Redis未授权访问漏洞，鉴于点到为止的原则，没有继续渗透下去，这篇文章特此介绍并复现该漏洞危害性。一．漏洞介绍Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致
转载
2023-07-10 21:58:07
346阅读
靶机(centos6.6)：192.168.109.150 攻击机(kali-linux 2019.3)：192.168.109.1481.nmap存活主机扫描 2.发现疑似目标主机，扫描端口服务：找到目标端口63793.kali安装redis、并启动redis客户端连接目标主机解压编译安装启动redis客户端，无密码连接目标主机4.r
转载
2023-07-09 23:31:24
140阅读
Redis未授权访问复现及利用一、Redis相关介绍应用场景常用语法发现二、复现环境搭建Centos 7 环境配置安装Apache安装PHP安装Redis利用准备kali安装Rediswindows安装Redis三、未授权访问利用webshell反弹shell写公钥主从复制RCE四、预防措施五、其他问题 一、Redis相关介绍Redis是完全开源的，遵守BSD协议，是一个高性
转载
2023-07-13 15:52:57
98阅读
redis环境搭建1.首先将我们所用到的文件上传到服务器并解压2.进入redis文件夹 使用 make 命令编译 如果报错gcc未找到就使用yum命令安装一下gcc： yum -y install gcc
3.进入redis下的src文件夹 有redis.server证明安装成功 使./redis.service
启动redis4.链接redis话再打开一个终端进入redis下src目录使用./r
转载
2023-07-08 16:50:34
95阅读
一、redis未授权访问漏洞漏洞描述redis安装完以后，默认是没有账号密码的（安装redis详细可参考：redis相关笔记，如果redis是以root权限去运行，则可以被反弹shell或者写入ssh密钥，从而被获取服务器的权限。漏洞检测s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((host,port))
s.se
转载
2024-02-25 06:09:01
54阅读
CATALOG前言环境配置靶机环境配置第一步：下载并解压redis第二步：修改配置文件第三步：开启redis在攻击机上下载redisredis常见命令漏洞利用须知与漏洞理解实验过程前言资产列表漏洞利用：利用漏洞写入webshell漏洞利用：写入ssh公钥漏洞利用：利用计划任务反弹shell漏洞修复建议(引用他人博客) 前言几年前就知道这个漏洞，可是一直没有机会复现，这两天真好有机会复现一下它，在
转载
2023-07-09 23:31:06
156阅读
1、漏洞介绍Redis 默认情况下，会绑定在 0.0.0.0:6379，如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，这样将会将 Redis 服务暴露到公网上，如果在没有设置密码认证（一般为空）的情况下，会导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下，利用 Redis 自身的
转载
2023-09-18 22:51:56
49阅读
1、背景介绍近期公司内部安装主机安全组件，检测出一些安全漏洞，其中就有利用redis未授权漏洞进行攻击。攻击的大概路径如下图，本文主要介绍如何利用redis未授权漏洞进行攻击。2、攻击原理正常redis默认情况下，会绑定在0.0.0.0:6379，如果没有限制来源IP并且甚至没有密码，那么就会导致攻击者非法访问，并读取Redis的数据，还可以利用自身config命令进行写入操作，攻击者可将自己的s
转载
2023-09-13 11:25:20
155阅读
数据库的安全是底线，但凡被“脱裤”过的DBA，那种技术上带来的耻辱感，可能不比真正被人脱了裤子低。前年11月初Redis爆出安全漏洞，远程连接redis在满足一定条件下，可控制redis服务器root权限。最近又有小伙伴中招； 本文介绍这个漏洞的细节和Redis的基本安全规范。
1 Redis漏洞背景前年11月antirez（redis’s father）在他博客A few
转载
2024-02-22 14:16:21
127阅读
起序：是因为我同学的云服务器被黑了，被挖矿了，原因就是 redis 可以未授权访问，还是 root 级别的，我直接好家伙，整理记录一下。一、软件环境虚拟机：VMware Workstation 15.5.1 ProKali：kali-linux-2020.4-installer-amd64.isoCentOS：CentOS-7-x86_64-DVD-2003.isoredis-5.0.5.tar.
转载
2023-05-25 10:50:13
324阅读
Redis简介：Redis是一个key-value存储系统。和Memcached类似，它支持存储的value类型相对更多，包括string(字符串)、list(链表)、set(集合)、zset(sorted set --有序集合)和hash（哈希类型）。这些数据类型都支持push/pop、add/remove及取交集并集和差集及更丰富的操作，而且这些操作都是原子性的。在此基础上，redis支持各种
转载
2024-03-04 11:04:58
31阅读
Redis是一个高性能的数据库，Redis Crackit及Redis安全漏洞本质上是由于Redis自身缺乏安全防护机制，同时Redis的使用者又未曾遵循官方的安全规范所导致的。 Redis安全漏洞 对于安全漏洞的防护，很多面向大数据的应用架构（NOSQL、Caching）都存在类似的问题。这些架构在设计之初并没有考虑到相关的安全问题，又或者设定了架构的应用环境，不允许暴露在公共场景中。但大多数
转载
2024-09-01 22:56:10
74阅读
