web实战开发--redis安全配置和防攻击
mhr18 2024-12-04 13:51 14 浏览 0 评论
前言:
就个人而言, 对redis的性能评估以及使用, 还算是有些了解和熟悉. 想来还是在大公司太过安逸, 有专人去维护redis集群, 把基础服务打理的服服帖帖. 反而很少去关心redis本身的一些安全配置.
要不是, 在自己的个人的云主机, 使用的redis服务被攻击, 才如梦初醒, 开始关注redis本身的安全机制, 并知道如何防攻击.
经历:
自己瞎倒腾, 搞了一个小web站点, 里面安装了一个redis服务实例. 没想到服务运行了几天, 发现redis服务没法访问, 这是啥情况?
1. redis-server进程宕机了?
ps aux | grep redis-server
redis-server实例是存在的, 没有宕机
2. 句柄泄露, 导致FD耗尽?
netstat -na | grep CLOSE_WAIT
lsof -p <pid>
好像也正常.
3. redis-server本身的bug?
应该不至于吧, 这个猜测纯粹是多余和无用的.
确认问题:
使用redis-cli登陆, 发现任何命令的执行结果都是
(error) ERR operation not permitted
网上一查, 原来是权限受限, 需要输入密码, 这就奇怪了, 我没有设置密码呀? 那这是谁干的呢!!!
转念一想, 我没有设置密码, 那别人就可以扫描端口, 然后免费使用我的redis服务, 并设置权限, 鸠占鹊巢, 真是悲剧.
我忽略了安全问题, 服务没有做任何限制, 开放给了所有人.
redis的安装:
系统的环境是centos6.5, 所用的源是基于阿里云的.
yum install redis.x86_64
服务启动:
redis-server /etc/redis.conf
redis的安全机制:
在/etc/redis.conf中, 可以设定密码, 也可以设定网络的请求IP源.
1. 设定访问密码
#requirepass foobared
去掉注释, 既可设置密码.
2. 设定ip请求源
# If you want you can bind a single interface, if the bind option is not
# specified all the interfaces will listen for incoming connections.
#
bind 127.0.0.1
这样, 只有来自的本地的socket链接, 才能获取访问资格.
后记:
期间也收到阿里云的短信提示, 说起redis服务存在安全隐患, 当时没怎么注意. 现在来看阿里云, 还是相当不错, 另一方面, 也提升自己的安全意识, 不光是redis, 其他服务也会存在类似的情况. mysql强制铺开安全方面所做的努力, 真实良苦用心, 也算是体会到了.
相关推荐
- redis 7.4.3更新!安全修复+性能优化全解析
-
一、Redis是什么？为什么选择它？Redis（RemoteDictionaryServer）是一款开源的高性能内存键值数据库，支持持久化、多数据结构（如字符串、哈希、列表等），广泛应用于缓存、消...
- C# 读写Redis数据库的简单例子
-
CSRedis是一个基于C#的Redis客户端库，它提供了与Redis服务器进行交互的功能。它是一个轻量级、高性能的库，易于使用和集成到C#应用程序中。您可以使用NuGet包管理器或使用以下命令行命令...
- 十年之重修Redis原理
-
弱小和无知并不是生存的障碍，傲慢才是。--------面试者总结Redis可能都用过，但是从来没有理解过，就像一个熟悉的陌生人，本文主要讲述了Redis基本类型的使用、数据结构、持久化、单线程模型...
- 高频L2行情数据Redis存储架构设计(含C++实现代码)
-
一、Redis核心设计原则内存高效：优化数据结构，减少内存占用低延迟访问：单次操作≤0.1ms响应时间数据完整性：完整存储所有L2字段实时订阅：支持多客户端实时数据推送持久化策略：RDB+AOF保障数...
- Magic-Boot开源引擎:零代码玩转企业级开发，效率暴涨!
-
一、项目介绍基于magic-api搭建的快速开发平台，前端采用Vue3+naive-ui最新版本搭建，依赖较少，运行速度快。对常用组件进行封装。利用Vue3的@vue/compiler-sfc单文...
- 项目不行简历拉胯?3招教你从面试陪跑逆袭大厂offer!
-
项目不行简历拉胯？3招教你从面试陪跑逆袭大厂offer！老铁们！是不是每次面试完都感觉自己像被大厂面试官婉拒的渣男？明明刷了三个月题库，背熟八股文，结果一被问项目就支支吾吾，简历写得像大学生课程设计？...
- 谷歌云平台:开发者部署超120个开源包
-
从国外相关报道了解，Google与Bitnami合作为Google云平台增加了一个新的功能，为了方便开发人员快捷部署程序，提供了120余款开源应用程序云平台的支持。这些应用程序其中包括了WordPre...
- 知名互联网公司和程序员都看好的数据库是什么?
-
2017年数据库领域的最大趋势是什么？什么是最热的数据处理技术？学什么数据库最有前途？程序员们普遍不喜欢的数据库是什么？本文都会一一揭秘。大数据时代，数据库的选择备受关注，此前本号就曾揭秘国内知名互联...
- 腾讯云发布云存储MongoDB服务
-
近日，著名安全专家兼Shodan搜索引擎的创建者JohnMatherly发现，目前至少有35000个受影响的MongoDB数据库暴露在互联网上，它们所包含的数据暴露在网络攻击风险之中。据估计，将近6...
- 已跪，Java全能笔记爆火，分布式/开源框架/微服务/性能调优全有
-
前言程序员，立之根本还是技术，一个程序员的好坏，虽然不能完全用技术强弱来判断，但是技术水平一定是基础，技术差的程序员只能CRUD，技术不深的程序员也成不了架构师。程序员对于技术的掌握，除了从了解-熟悉...
- 面试官:举个你解决冲突的例子?别怂!用这个套路……
-
面试官：举个你解决冲突的例子？别怂！用这个套路……最近收到粉丝私信，说被问到：团队技术方案有分歧怎么办？当场大脑宕机……兄弟！这不是送命题，是展示你情商+技术判断力的王炸题！今天教你们3招，用真实案例...
- 面试碰到MongoDB?莫慌，跟面试官这样吹MongoDB 复制集
-
推荐阅读：吊打MySQL：21性能优化实践+学习导图+55面试+笔记+20高频知识点阿里一线架构师分享的技术图谱，进阶加薪全靠它十面字节跳动，依旧空手而归，我该放弃吗？文末会分享一些MongoDB的学...
- SpringBoot集成扩展-访问NoSQL数据库之Redis和MongoDB!
-
与关系型数据库一样，SpringBoot也提供了对NoSQL数据库的集成扩展，如对Redis和MongoDB等数据库的操作。通过默认配置即可使用RedisTemplate和MongoTemplate...
- Java程序员找工作总卡项目关?
-
Java程序员找工作总卡项目关？3招教你用真实经历写出HR抢着要的简历！各位Java老哥，最近刷招聘软件是不是手都划酸了？简历投出去石沉大海，面试邀请却总在飞别人的简历？上周有个兄弟，13年经验投了5...
- Java多租户SaaS系统实现方案
-
嗯，用户问的是Java通过租户id实现的SaaS方案。首先，我需要理解用户的需求。SaaS，也就是软件即服务，通常是指多租户的架构，每个租户的数据需要隔离。用户可能想知道如何在Java中利用租户ID来...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- oracle位图索引 (63)
- oracle批量插入数据 (62)
- oracle事务隔离级别 (53)
- oracle 空为0 (50)
- oracle主从同步 (55)
- oracle 乐观锁 (51)
- redis 命令 (78)
- php redis (88)
- redis 存储 (66)
- redis 锁 (69)
- 启动 redis (66)
- redis 时间 (56)
- redis 删除 (67)
- redis内存 (57)
- redis并发 (52)
- redis 主从 (69)
- redis 订阅 (51)
- redis 登录 (54)
- redis 面试 (58)
- 阿里 redis (59)
- redis 搭建 (53)
- redis的缓存 (55)
- lua redis (58)
- redis 连接池 (61)
- redis 限流 (51)