Redis在高版本中还增加了保护模式 2016Postgres中国用户大会 Postgres Conference China 2016 中国用户大会 Redis无法做到key隔离 Key1 ：Value1 Key2 ：Value2 Key3 ：Value3 Key4 ：Value4 Key5 ：Value5 ……….. keyN ：ValueN Redis Advantages 2016Postgres中国用户大会 Postgres Conference China 2016 中国用户大会 系统权限 PostgreSQL的权限分类 对象权限 2016Postgres中国用户大会 Postgres Conference China 2016 中国用户大会 Role • 丌同角色的用户只需要登陆一次 就会获取自己所需的跨多个Redis 实例的所有数据 • 密码隔离 • 角色隔离 • 开发只能读取实例中的数据 • 运营可以访问和修改实例的数据 • DBA需要对实例进行管理 问题分析 登陆权限隔离 统一管理 KEY权限隔离 2016Postgres中国用户大会 Postgres Conference

这里我们调出Console 利用前提： 靶机redis未授权，在攻击机能用redis clinet连接，如上图，并未登录验证 靶机开启web服务，并且知道网站路径，还需要具有文件读写增删改查权限 由于本地搭建，我们已经知道网站路径，我们把shell写入/var/www/html/目录下： config set dir /var/www/html config set dbfilename dbfilename root save 反弹shell成功！ nmap检测 Redis-RCE 最近出的Redis-RCE，该漏洞利用前提是获取redis访问权限，也就是基于redis未授权访问。 防御手段 -禁止使用root权限启动redis服务。 -对redis访问启动密码认证。 -添加IP访问限制，并更改默认6379端口。 nmap -p 6379 --script 地址：https://svn.nmap.org/nmap/scripts/redis-info.nse MongoDB 未授权访问漏洞 漏洞简介以及危害 开启MongoDB服务时不添加任何参数时,默认是没有权限验证的,登录的用户可以通过默认端口无需 密码对数据库任意操作（增、删、改、查高危动作）而且可以远程访问数据库。 造成未授权访问的根本原因就在于启动 Mongodb 的时候未设置 --auth

数据安全 备份及一键恢复 每天自动备份数据，数据容灾能力强，免费支持数据一键恢复，有效防范数据误操作，业务损失降到最低。 多层网络安全防护 VPC 私有网络在 TCP 层直接进行网络隔离保护；DDOS 防护实时监测并清除大流量攻击；支持1000个以上 IP 白名单配置，直接从访问源进行风险控制。 深度内核优化 阿里云专家团队对源码 Redis 进行深度内核优化，有效防 高可用 双副本与集群版实例均有主从双节点，避免单点故障引起的服务中断。 硬件故障自动检测与恢复：自动侦测硬件故障并在数秒内切换，恢复服务。 实例级别的资源隔离可以更好地保障单个用户服务的稳定性。 秒级别监控 提供秒级别实时监控，分钟级别历史监控。 提供各数据结构和接口的监控信息，访问情况一目了然，便于用户对云数据库 Redis

Redis操作手册 前言： 1.蓝色字体表示命令行命令，正式执行时不要复制前面的#号，#号只是提示应 该使用root权限操作 2.绿色字体表示注释，有时注释太多就不用绿色表示了 3.注意：本文档的所有操作请先在测试机里进行实践，请不要直接在真实的服 务器中操作！ 版权声明： 本文档以开源的形式发布，所有条款如下： （1）无担保：作者不保证文档内容的准确无误，亦不承担由于使用此文档所导致的任何后果

如果事务执⾏ 失败， 那么事务中包含的所有命令都不会被执⾏。 ⼀致性（Consistent）： Redis 服务器会对事务及其包含的命令进⾏检查， 确保⽆论事务是否执⾏成功， 事务本身都不会对数据库造成破坏。 隔离性（Isolate）： 每个 Redis 客户端都拥有⾃⼰独⽴的事务队列， 并且每个 Redis 事务都是独⽴执⾏ 的， 不同事务之间不会互相⼲扰。 除此之外， 当 Redis 服务器运⾏在特定的持久化模式之下时， ⽤户可能将多个命令打包成⼀个命令执⾏： 当事务成功执⾏时， 事务中包含 的所有命令都会被执⾏； 相反地， 如果事务执⾏失败， 那么它包含的所有命令都不会被执⾏。 Redis 事务总是具有 ACID 性质中的原⼦性、⼀致性和隔离性， ⾄于是否具有耐久性则取决于 Redis 使⽤的 持久化模式。 流⽔线与事务虽然在概念上有相似之处， 但它们并不相等： 流⽔线的作⽤是打包发送多条命令， ⽽事务的 作⽤则是打包执⾏多条命令。 为了优化事务的执⾏效率，