标签：
文章出自：http://news.wooyun.org/6e6c384f2f613661377257644b346c6f75446f4c77413d3d
符合预警中“Redis服务配置不当”条件的服务器，均有被攻击者控制的风险。
11月4日，国外安全研究人员@antirez 公布Redis服务一例高危安全风险。其发现，Redis服务如果配置不当，结合SSH服务，可以直接获取服务器的ROOT权限。
服务器配置不当包括三部分：
Redis服务使用ROOT账户启动；
Redis服务无密码认证或者弱密码认证；
服务器开放SSH服务，允许密钥登录
符合以上条件的服务器，均有被攻击者控制的风险。乌云上已有白帽发现部分网站存在相关问题并提交了漏洞报告。并且安全扫描服务Tangscan监测到，有攻击者开始利用该漏洞攻击国内的服务器。
Redis是一款开源NOSQL数据库，常用于提升数据读写速度，加快网站访问速度。根据DB-Engines.com数据显示，它是全球最受欢迎的NOSQL数据库，被用在海量的互联网产品上。
乌云建议，有采用Redis的网站，应尽快检查是否存在配置不当问题。如发现存在问题，可按下述建议修复：
禁止使用 root 帐号启动 redis 服务；
对 redis 访问启用密码认证，并且添加 IP 访问限制；
尽可能不对公网直接开放 SSH 服务。
update：预警发布后，有企业内的白帽告知乌云，已发现有攻击者在网络上大规模扫描并进行利用的迹象。再次强调，使用Redis的网站请尽快展开自查，确认风险。
Redis配置不当可导致服务器被控制，已有多个网站受到影响 #通用程序安全预警#
标签：
原文地址：http://www.cnblogs.com/ghw0501/p/4968564.html
