81 lines
2.7 KiB
Markdown
81 lines
2.7 KiB
Markdown
|
# Redis 安全防护备忘
|
|||
|
|
|
|||
|
|
## 事件回顾
|
|||
|
|
|
|||
|
|
2026-07-31，生产环境第三方接口报 "Redis服务异常"，排查发现：
|
|||
|
|
|
|||
|
|
1. Redis 容器（daycard-redis）被外部设置为 `replicaof 109.244.159.27 29846`（从节点）
|
|||
|
|
2. master 不可达，Redis 进入只读状态，写入操作全部失败
|
|||
|
|
3. PartnerSignFilter 的 nonce 防重放（`setIfAbsent`）写入被拒，导致所有第三方接口不可用
|
|||
|
|
|
|||
|
|
## 根因
|
|||
|
|
|
|||
|
|
Redis 未授权访问被攻击：
|
|||
|
|
|
|||
|
|
- **端口暴露公网**：docker-compose.yml 中 `ports: "6379:6379"` 将 Redis 暴露到 0.0.0.0:6379
|
|||
|
|
- **无密码**：REDIS_PASSWORD 为空，任何人可直连 Redis
|
|||
|
|
- 攻击者扫描公网 6379 端口，未授权连接后执行 `CONFIG SET replicaof 109.244.159.27 29846`，将 Redis 变为从节点
|
|||
|
|
|
|||
|
|
## 防护措施（已落实到 docker-compose.yml）
|
|||
|
|
|
|||
|
|
### 1. 不暴露端口到公网
|
|||
|
|
|
|||
|
|
去掉 Redis 的 `ports` 映射，仅在 docker 内网访问。应用容器通过 `redis:6379` 访问，无需宿主机端口映射。
|
|||
|
|
|
|||
|
|
### 2. 加密码
|
|||
|
|
|
|||
|
|
```
|
|||
|
|
command: redis-server --requirepass AsRedis2026!Safe
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
应用环境变量同步配置 `REDIS_PASSWORD=AsRedis2026!Safe`。
|
|||
|
|
|
|||
|
|
### 3. 强制单机模式
|
|||
|
|
|
|||
|
|
```
|
|||
|
|
command: redis-server --requirepass AsRedis2026!Safe --replicaof no one
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
`--replicaof no one` 确保即使被连上也无法被设置为从节点。
|
|||
|
|
|
|||
|
|
## 重新部署步骤
|
|||
|
|
|
|||
|
|
```bash
|
|||
|
|
# 1. 拉取最新代码（含修改后的 docker-compose.yml）
|
|||
|
|
cd /path/to/as-daycard-openapi
|
|||
|
|
git pull
|
|||
|
|
|
|||
|
|
# 2. 重建 Redis 容器（彻底清除被篡改的配置）
|
|||
|
|
docker rm -f daycard-redis
|
|||
|
|
|
|||
|
|
# 3. 启动新的 Redis 容器
|
|||
|
|
docker-compose up -d redis
|
|||
|
|
|
|||
|
|
# 4. 验证：replicaof 应为空
|
|||
|
|
docker exec daycard-redis redis-cli -a 'AsRedis2026!Safe' config get replicaof
|
|||
|
|
# 预期输出：
|
|||
|
|
# 1) "replicaof"
|
|||
|
|
# 2) ""
|
|||
|
|
|
|||
|
|
# 5. 验证：密码生效（无密码连接应失败）
|
|||
|
|
docker exec daycard-redis redis-cli config get replicaof
|
|||
|
|
# 预期输出：NOAUTH Authentication required.
|
|||
|
|
|
|||
|
|
# 6. 重启应用容器（加载新密码）
|
|||
|
|
docker-compose up -d daycard-openapi
|
|||
|
|
|
|||
|
|
# 7. 验证应用正常
|
|||
|
|
curl http://localhost:8084/openapi/partner/media/package \
|
|||
|
|
-H "appKey: 你的appKey" \
|
|||
|
|
-H "timestamp: $(date +%s%3N)" \
|
|||
|
|
-H "nonce: test123" \
|
|||
|
|
-H "sign: 签名"
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 日常运维注意事项
|
|||
|
|
|
|||
|
|
- **不要恢复 6379 端口映射**：如需宿主机调试 Redis，用 `docker exec -it daycard-redis redis-cli -a 'AsRedis2026!Safe'` 进入
|
|||
|
|
- **密码保密**：`AsRedis2026!Safe` 已写在 docker-compose.yml 中，如需修改请同步更新 Redis command 和应用 REDIS_PASSWORD 环境变量
|
|||
|
|
- **定期检查**：`docker exec daycard-redis redis-cli -a 'AsRedis2026!Safe' config get replicaof` 确认未被篡改
|
|||
|
|
- **服务器安全**：检查 /root/.ssh/authorized_keys 是否有陌生 key，确认未被 SSH 入侵
|