Redis未授权访问

Redis因配置不当导致未授权访问。攻击者无需认证能访问到内部数据，可导致敏感信息泄露，也可以恶意执行flushall命令来清空所有数据；攻击者还可通过EVAL执行lua代码，或通过数据备份功能往磁盘写入后门文件。如果Redis以root身份运行，可以给root账户写入SSH公钥文件，直接通过SSH登录受害服务器。

检测方法：

        1）使用telnet命令进行探测，命令如下：telnet x.x.x.x6379

        2）在telnet命令窗口输入info，若出现以下所示图片，则存在漏洞。

解决方法：

        1.绑定IP,不要开放到公网，只开放本地监听，如bind 127.0.0.1

        2.开启密码认证，在配置文件中加requirepass****,密码强度需要足够强

        3.设置防火墙策略        

        4.低权限运行