Redis 暴露检查查什么
Redis 未授权访问是内网里最常见的一类暴露：默认配置监听所有地址且不设口令，一旦网络可达就等于任何人可以读写缓存。核查项包括监听地址与保护模式、是否设置口令、危险命令是否重命名或禁用、持久化配置是否可被利用写入文件。验证必须严格限定在只读命令上——写入或改配置类命令会直接改动业务缓存甚至数据文件。
基本信息
| 默认端口 | TCP 6379 |
|---|---|
| 核查项 | bind 监听地址、protected-mode、requirepass、危险命令、持久化配置 |
| 只读验证命令 | PING、INFO、CONFIG GET（只读查询） |
| 禁止动作 | 写入键值、执行 FLUSHALL、修改配置、触发持久化写盘 |
| 加固方向 | 绑定内网或回环 + 强口令 + 命令重命名或禁用 + 账号权限收敛 |
典型使用场景
- 内网评估中识别未授权访问面
- 核查缓存服务的访问控制与账号分权
- 评估可达范围：仅内网可达但可达面很大的实例同样需要处理
- 检查危险命令是否可用（配置类与管理类命令）
- 修复验证：确认已绑定内网且口令与命令限制已生效
只读检查示例
只读检查示例
redis-cli -h 10.0.20.5 -p 6379 PING # 无口令可通即为未授权
redis-cli -h 10.0.20.5 -p 6379 INFO server | head # 只读：查看版本与运行信息
redis-cli -h 10.0.20.5 -p 6379 CONFIG GET requirepass # 只读查询口令与关键配置
# 仅执行只读命令；不写入键、不执行 FLUSHALL、不修改配置
# 记录：地址、端口、是否可免凭据访问、可达范围（从哪个位置验证）结果与判断
| 结果 | 含义 | 处置 |
|---|---|---|
| PING 返回 PONG 且无需口令 | 未授权可访问 | 列缺陷，按数据敏感度与可达范围定级 |
| 返回 NOAUTH | 已启用口令 | 记录为已核查，可评估口令强度策略 |
| 连接被拒或超时 | 不可达或已限制 | 结合验证位置说明可达范围 |
| CONFIG 命令可用 | 危险命令未限制 | 单独列为配置问题 |
严禁执行写入、改配置类命令验证影响：这类操作会直接改动业务缓存或磁盘文件，取只读证据即停是硬要求。
仅内网可达也要评估可达面：办公网整段可达的实例风险并不低于公网暴露，结论里要写清验证位置与可达范围。