redis 安全漏洞导致服务器被攻击

近日发现redis数据无故被清，恢复后连续几次还是被清，由于经验不足，一直认为是自己配置有误。经过多天查找，才发现2015年11月份爆发了redis安全漏洞攻击事件，一一印证了下，全部中招。

特点：

1.redis缓存被清0；而且每天会执行一次；

2./root/.ssh/ 下多了几个文件。dump.rdb, foo.txt, authorized_keys里多了莫名的rsa字符串

3.redis-cli  检查，多了个key值crackit, value可能是rsa私钥自串或其它字串。

解决办法：

1.修改配置文件/etc/redis/redis.conf ，＃bind 127.0.0.0 将这行注视去掉。由于我的服务器只本地访问，所以只改这一项就好,效果正在观察中。如果允许多台用户访问，建议设置访问密码；配置rename-command 配置项 “RENAME_CONFIG”，增加远程控制难度；用非root用户启动redis-server; 

2.删除/root/.ssh/下所有无用的文件，另外所有私钥公钥建议删除，从新生成。因为很有可能被黑客写入了它们的钥匙，这样可以自由出入你的服务器

3.删除key值 crackit

4.查看 cat ./etc/passwd 清除多余的用户并且重置密码

http://www.secwk.com/article/info/detail/171175521112329340.html

http://blog.knownsec.com/2015/11/analysis-of-redis-unauthorized-of-expolit/

http://www.secpulse.com/archives/40406.html