完全無視安全功能的 Redis 服務器自創建以來飽受各種安全風險的困擾，Risk Based Security (RBS) 最近發現了 6338 台受到侵入的 Redis 服務器。
Redis 是一個在內存中以鍵值對方式存儲數據的 NOSQL 數據庫。據 DB-Engines 的統計數據，它在 2015 年度的數據庫流行度位列第十，而在鍵值對數據庫中排名第一。
由於 Redis 以性能為第一考量，所以默認配置下該數據庫沒有任何的認證或其它的安全控制功能。
Redis 服務器存在 SSH 密鑰創建漏洞
任何人只要知道你的 IP 地址和 Redis 的端口，就可以訪問其中的任意內容。更糟糕的是，在 2015 年末，發現了一種攻擊方式可以讓任何人在你的 Redis 服務器上的 authorized_keys 文件中存儲 SSH 密鑰——這意味著，攻擊者將不需要任何密碼即可取得 Redis 服務器上的 SSH 訪問權限。
而現在，至少有三萬台沒有任何驗證措施的 Redis 服務器暴露在互聯網上，據 RBS 研究人員的稱，已經有 6338 台 Redis 被竊取了 SSH 權限。
該公司在通過 Shodan 進行了非侵入式掃描之後得出了如上結論。RBS 的研究人員在分析了被入侵的服務器之後發現，它們上面存在著一個名為“crackit” 的 SSH 密鑰，其關聯的郵件地址
[email protected] 曾在之前的其它入侵事件中出現過。除了
[email protected] 這個地址出現過 5892 次之外，
[email protected] 和
[email protected] 也分別出現了 385 次和 211 次。除了“crackit” 之外，還有一些名為“crackit_key”， “qwe” ，“ck” 和 “crack” 之類的密鑰名。據 RBS 分析，這表明它們來自多個組織或個人。
攻擊者並不針對特定的 Redis 版本，任何版本都可能被黑
這些被攻擊的 Redis 服務器的版本多達 106 個，從早期的 1.2.0. 到最新的 3.2.1 都有。
“從對這些數據的分析中得不到更進一步的結果，只能確認兩件事，第一件事是這並非新出現的漏洞，第二是，有些服務器只是被侵入了，但是並沒有被利用。”RBS 研究人員解釋說。
該公司建議系統管理員們升級其 Redis 服務器到最新的版本，並啟用 3.2 版本新引入的“保護模式”。另外，不要將 Redis 服務器或者其它的數據庫暴露在互聯網上是最起碼的安全准則。
