redis 未授权访问 (CNVD-2019-21763)

简介

近日，Redis 被爆出Redis 4.x/5.x 版本存在主从同步命令执行漏洞，攻击者通过构造特定的请求实现漏洞利用，成功利用漏洞可在目标服务器上实现Getshell，风险较高。目前漏洞的利用方式已被公开。 CNVD-2015-07557也可以复现。

redis

redis是一个开源的、使用C语言编写的、支持网络交互的、可基于内存也可持久化的Key-Value数据库。

redis的官网地址，非常好记，是redis.io。（特意查了一下，域名后缀io属于国家域名，是british Indian Ocean territory，即英属印度洋领地）

目前，Vmware在资助着redis项目的开发和维护。

redis安装

从redis.io下载最新版redis-X.Y.Z.tar.gz后解压，然后进入redis-X.Y.Z文件夹后直接make即可，安装非常简单。

make成功后会在src文件夹下产生一些二进制可执行文件，包括redis-server、redis-cli等等：

复制代码代码如下:

$ find . -type f -executable
./redis-benchmark //用于进行redis性能测试的工具
./redis-check-dump //用于修复出问题的dump.rdb文件
./redis-cli //redis的客户端
./redis-server //redis的服务端
./redis-check-aof //用于修复出问题的AOF文件
./redis-sentinel //用于集群管理

影响范围：

Redis版本 >=4.0