主机与服务风险面53 条

Memcached 未授权与放大风险

Memcached 设计上无鉴权（可选 SASL），默认 11211 端口；暴露后缓存数据可被读取，且历史上常被用于 UDP 反射放大流量。

加固要点

1. 监听地址限制：-l 127.0.0.1 或内网地址
2. 关闭 UDP：新版本默认关闭，老版本加 -U 0
3. 防火墙仅放行应用服务器来源
4. 不缓存包含明文敏感数据的键

ss -lunp | grep 11211     # 检查是否监听 UDP
ss -ltnp | grep 11211     # 检查 TCP 监听地址

Memcached 1.5.6 起默认禁用 UDP；升级版本本身即可消除主要的放大面。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌