Linux：阿里云 ECS Redis 安全设置

た入场券 2024-04-20 12:21 10阅读 0赞

**博客地址**：[http://www.lsk-ww.cn:8080][http_www.lsk-ww.cn_8080]

##### 1、打开保护模式 #####

redis默认开启保护模式。要是配置里没有指定bind和密码，开启该参数后，redis只能本地访问，拒绝外部访问。

redis.conf安全设置： # 打开保护模式 protected-mode yes

##### 2、开启Redis密码认证，添加复杂密码 #####

redis在redis.conf配置文件中，设置配置项requirepass， 开户密码认证。 redis因查询效率高，auth这种命令每秒能处理9w次以上，简单的redis的密码极容易为攻击者暴破。

打开redis.conf，找到requirepass所在的地方，修改为指定的密码，密码应符合复杂性要求：
    
    1、长度8位以上
    2、包含以下四类字符中的三类字符:
    英文大写字母(A 到 Z)
    英文小写字母(a 到 z)
    10 个基本数字(0 到 9)
    非字母字符(例如 !、$、%、@、^、&等，#除外)
    3、避免使用已公开的弱密码，如：abcd.1234 、admin@123等
    再去掉前面的#号注释符，然后重启redis

##### 3、禁用危险命令 #####

修改 redis.conf 文件，添加
    
    rename-command FLUSHALL ""
    rename-command FLUSHDB  ""
    rename-command CONFIG   ""
    rename-command KEYS     ""
    rename-command SHUTDOWN ""
    rename-command DEL ""
    rename-command EVAL ""
    然后重启redis。 重命名为"" 代表禁用命令，如想保留命令，
    可以重命名为不可猜测的字符串，如： rename-command FLUSHALL joYAPNXRPmcarcR4ZDgC

##### 4、修改Redis 配置文件的访问权限 #####

chmod 600 /<filepath>/redis.conf

##### 5、修改Redis 默认端口 #####

编辑文件redis的配置文件redis.conf，找到包含port的行，将默认的6379修改为自定义的端口号，然后重启redis

##### 6、禁止监听在公网 #####

Redis监听在0.0.0.0，可能导致服务对外或内网横向移动渗透风险，极易被黑客利用入侵。

在redis的配置文件redis.conf中配置如下： bind 127.0.0.1或者内网IP，然后重启redis

##### 7、禁止使用root用户启动 #####

使用root权限去运行网络服务是比较有风险的（nginx和apache都是有独立的work用户，而redis没有）。redis crackit 漏洞就是利用root用户的权限来替换或者增加authorized\_keys，来获取root登录权限的

使用root切换到redis用户启动服务:
    useradd -s /sbin/nolog -M redis 
    sudo -u redis /<redis-server-path>/redis-server /<configpath>/redis.conf

[http_www.lsk-ww.cn_8080]: http://www.lsk-ww.cn:8080