Redis注入null一种新型安全漏洞（redis注入null）

Redis注入null：一种新型安全漏洞

顺庆网站制作公司哪家好，找创新互联！从网页设计、网站建设、微信开发、APP开发、响应式网站设计等网站项目制作，到程序开发，运营维护。创新互联2013年至今到现在10年的时间，我们拥有了丰富的建站经验和运维经验，来保证我们的工作的顺利进行。专注于网站建设就选创新互联。

Redis是一个广泛使用的开源、内存数据结构存储系统，它支持多种数据结构，如字符串、哈希、列表等。然而，最近发现了一个新型的Redis安全漏洞：redis注入null。

Redis 注入null 是一种注入式攻击，通过构造恶意输入，攻击者可以利用 Redis 中的 NULL 值特性执行非法的 Redis 命令，导致系统被攻陷。攻击者利用 Redis 中的 NULL 值会转换成空字符串的特性，通过插入恶意字符串来执行攻击操作。

攻击者可以通过以下步骤实现 Redis 注入null：

1. 构造恶意输入: 攻击者构造一个恶意字符串，包含特殊字符和 Redis 命令，例如：foo\0bar; PING

2. 发送恶意输入: 攻击者将恶意输入发送给 Redis 服务器。

3. 执行恶意命令: Redis 会将“\0”解释为 NULL 值，并将＂; PING＂视为一个新的 Redis 命令，导致系统被攻陷。

攻击者可以利用 Redis 注入null 漏洞执行多种攻击操作，例如篡改数据、绕过认证、远程命令执行等。由于 Redis 在许多应用程序中扮演关键角色，这个漏洞可能会给企业带来重大影响。

为了保护系统免受 Redis 注入null 漏洞攻击，可以采取以下措施：

1.更新 Redis： Redis 官方已发布了更新解决此漏洞，更新 Redis 版本可以有效防止此漏洞的攻击。

2.输入校验: 对 Redis 输入数据进行严格的校验和过滤，可以过滤掉恶意字符串，避免攻击者利用此漏洞。

3.访问控制: 访问 Redis 的客户端应该进行访问控制，禁止未授权访问及不受信任的客户端连接至 Redis 服务。

以下是一个 PHP 代码示例，演示了如何通过 Redis 注入null实现无效的认证操作:

“`php

//连接 Redis 服务器

$redis = new Redis();

$redis->connect(‘localhost’, 6379);

//模拟用户认证

$user = “admin”;

$password = “password”;

$is_auth = false;

if (isset($_POST[‘username’]) && $_POST[‘password’]) {

$username = $_POST[‘username’];

$password = $_POST[‘password’];

if ($username == $user && $password == $password) {

$is_auth = true;

}

}

//如果认证成功，获取用户信息

if ($is_auth) {

$userdata = $redis->hgetall(“userdata”);

//此处获取到 userdata 中的所有信息

}

else {

//认证失败，输出错误信息

echo “用户名或密码错误”;

}

?>

攻击者可以通过以下恶意输入将 $is_auth 设置为 true，绕过认证，并获取到userdata中的敏感信息：

```javascript
POST /auth.php HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded
Content-Length: 33

username=admin&password=password\0;

在此漏洞被修复之前，我们需要在 Redis 服务上充分了解此漏洞的细节，并采取相应的防范措施，以保护我们的系统免受攻击。

创新互联服务器托管拥有成都T3+级标准机房资源，具备完善的安防设施、三线及BGP网络接入带宽达10T，机柜接入千兆交换机，能够有效保证服务器托管业务安全、可靠、稳定、高效运行；创新互联专注于成都服务器托管租用十余年，得到成都等地区行业客户的一致认可。

分享文章：Redis注入null一种新型安全漏洞（redis注入null）
链接URL：http://www.36103.cn/qtweb/news38/39038.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联