Redis配置不当可导致服务器被控制，已有多个网站受到影响 #通用程序安全预警#

文章出自：http://news.wooyun.org/6e6c384f2f613661377257644b346c6f75446f4c77413d3d

符合预警中“Redis服务配置不当”条件的服务器，均有被攻击者控制的风险。

11月4日，国外安全研究人员@antirez 公布Redis服务一例高危安全风险。其发现，Redis服务如果配置不当，结合SSH服务，可以直接获取服务器的ROOT权限。

服务器配置不当包括三部分：

1. Redis服务使用ROOT账户启动；

2. Redis服务无密码认证或者弱密码认证；

3. 服务器开放SSH服务，允许密钥登录

符合以上条件的服务器，均有被攻击者控制的风险。乌云上已有白帽发现部分网站存在相关问题并提交了漏洞报告。并且安全扫描服务Tangscan监测到，有攻击者开始利用该漏洞攻击国内的服务器。

Redis是一款开源NOSQL数据库，常用于提升数据读写速度，加快网站访问速度。根据DB-Engines.com数据显示，它是全球最受欢迎的NOSQL数据库，被用在海量的互联网产品上。

乌云建议，有采用Redis的网站，应尽快检查是否存在配置不当问题。如发现存在问题，可按下述建议修复：

1. 禁止使用 root 帐号启动 redis 服务；

2. 对 redis 访问启用密码认证，并且添加 IP 访问限制；

3. 尽可能不对公网直接开放 SSH 服务。

update：预警发布后，有企业内的白帽告知乌云，已发现有攻击者在网络上大规模扫描并进行利用的迹象。再次强调，使用Redis的网站请尽快展开自查，确认风险。