Redis默认没密码容易被攻陷，安全隐患别忽视了啊

“Redis默认没密码容易被攻陷，安全隐患别忽视了啊”这个说法，最早是在一些技术社区和安全论坛上，由不少运维工程师和网络安全爱好者反复提出和强调的，我记得最早看到类似的警告，大概是在2015年前后，当时就有不少报道提到，因为Redis实例暴露在公网上且没有设置密码，导致服务器被入侵，数据被清空并被勒索比特币的情况，这种事件至今还时有发生，说明这个问题确实非常普遍，而且很多人依然没有引起足够的重视。

Redis之所以默认不给密码,根据其官方文档的说明，主要是为了追求极致的性能和简化开发环境下的配置，Redis的设计初衷是在一个受信任的、隔离的网络环境中运行，比如在公司的内网里，只让应用程序服务器来访问，在这种假设下，密码认证被认为是一种不必要的开销和复杂度，这个想法在理想环境下是说得通的，但问题就出在，现实世界的部署往往和理想环境相差甚远。

很多开发者,特别是刚开始接触Redis或者对运维不太熟悉的人，为了图省事，可能直接在云服务器上安装Redis后，就按照默认配置启动了，没有修改任何安全设置，他们可能没有意识到，默认情况下，Redis会绑定到服务器的所有网络接口上，这意味着不仅内网能访问，如果服务器的公网IP的6379端口是开放的，那么全世界的任何人都可以连接到这个Redis服务，这就好比你在自己家里装了一个宝箱，但却把大门和宝箱的钥匙都插在门上，任何人都可以大摇大摆地走进来拿走里面的东西。

攻击者一旦发现一个暴露在公网且没有密码的Redis实例,他们能做的事情就太多了，危害极其严重，最直接的攻击就是数据泄露，Redis里可能存储着各种各样的数据，从用户的会话信息、缓存的应用数据，甚至可能包含一些敏感的业务数据或用户个人信息，攻击者可以轻松地通过几条简单的命令，把这些数据全部下载下来，造成严重的隐私泄露和信息安全事件。

攻击者不仅可以读取数据,还可以任意修改、删除甚至清空你的所有数据，想象一下，如果你运营着一个网站，核心的业务数据都缓存在Redis里，突然之间所有数据都被攻击者用一个FLUSHALL命令清空了，你的网站可能瞬间就瘫痪了，业务中断带来的损失将是巨大的，更恶劣的是，有些攻击者不会直接清空数据，而是会加密你的数据，然后留下勒索信息，向你索要赎金才肯归还数据。

还有一种非常危险的攻击手法,被称为“提权攻击”，攻击者可以利用无密码的Redis服务，将自己的公钥写入到服务器操作系统的~/.ssh/authorized_keys文件中，就是攻击者给服务器的SSH登录门锁配了一把他自己掌握的钥匙，一旦写入成功，他就可以直接用SSH免密登录到你的服务器，获得一个操作系统层面的shell权限，这时候，你的服务器就完全沦陷了，不再仅仅是Redis的数据被控制，而是整台服务器都成了攻击者的“肉鸡”，他可以在上面安装挖矿程序消耗你的CPU和电力资源，可以用你的服务器作为跳板去攻击内网的其他机器，或者发起网络攻击，后果不堪设想。

攻击者还可能利用Redis的配置功能,比如修改dir和dbfilename参数，将数据文件写入到系统关键路径下，从而破坏系统正常运行，或者实现其他恶意目的。

为什么这么明显的安全问题会如此普遍呢？除了前面提到的默认配置和为了方便的原因之外，还有一个因素是安全意识不足，有些开发者可能认为“我的服务器没什么重要数据，被黑了也没关系”，或者存在侥幸心理，觉得“互联网上服务器那么多，攻击者怎么会偏偏找到我”，但事实是，攻击者根本不需要手动一台台去找，他们使用专门的扫描工具，每天都在不间断地扫描整个互联网的IP地址，自动探测哪些机器的特定端口（比如Redis的6379端口）是开放的，一旦发现，自动化脚本就会尝试进行攻击，任何一个暴露在公网的无防护Redis实例，几乎肯定会在很短的时间内被扫描到并遭到攻击尝试。

对于“Redis默认没密码容易被攻陷”这个问题，我们绝对不能掉以轻心，这已经不是一个个案或者小众的知识点，而是一个必须遵守的基本安全准则，只要你将Redis用于生产环境，就必须采取严格的安全措施，核心的防护手段其实并不复杂：第一，也是最基本的一点，一定要设置一个强密码，通过Redis的requirepass配置项来实现，并且在应用程序连接时提供密码，第二，通过防火墙规则，严格限制能够访问Redis端口的源IP地址，最好只允许你的应用程序服务器IP来访问，彻底杜绝从公网直接连接的可能，对于更高安全要求的场景，还可以考虑将Redis部署在完全独立的内部网络中，或者使用VPN、跳板机等方式进行访问，实现网络层面的隔离。

Redis的性能优势再大,也不能以牺牲安全为代价，一次因为疏忽导致的数据泄露或服务器沦陷，所带来的损失远远超过当初配置安全措施所花费的几分钟时间，请务必记住这个来自无数前人的血泪教训：启用Redis时，第一件事就是设置密码和配置网络访问控制，千万别再让“默认无密码”这个便利的陷阱，变成攻击者入侵的捷径，安全隐患，真的忽视不得啊。