建站
咨詢
售后
建站咨詢
新聞中心
Redis注入失敗：一次注入挫折的經(jīng)歷
創(chuàng)新互聯(lián)為企業(yè)級(jí)客戶提高一站式互聯(lián)網(wǎng)+設(shè)計(jì)服務(wù)，主要包括成都網(wǎng)站設(shè)計(jì)、成都網(wǎng)站制作、重慶APP開發(fā)、微信小程序開發(fā)、宣傳片制作、LOGO設(shè)計(jì)等，幫助客戶快速提升營(yíng)銷能力和企業(yè)形象，創(chuàng)新互聯(lián)各部門都有經(jīng)驗(yàn)豐富的經(jīng)驗(yàn)，可以確保每一個(gè)作品的質(zhì)量和創(chuàng)作周期，同時(shí)每年都有很多新員工加入，為我們帶來大量新的創(chuàng)意。
在進(jìn)行Web應(yīng)用安全測(cè)試過程中，我嘗試對(duì)某個(gè)電商網(wǎng)站進(jìn)行Redis注入測(cè)試，結(jié)果卻遇到了挫折。
我使用了常見的Redis注入語句 `127.0.0.1:6379> flushall` 來清空Redis數(shù)據(jù)庫。但是，我無法順利地進(jìn)行注入，該語句不能成功執(zhí)行。
經(jīng)過實(shí)踐和研究，我發(fā)現(xiàn)該電商網(wǎng)站使用的Redis版本是較新的，而該版本默認(rèn)情況下已經(jīng)禁止通過網(wǎng)絡(luò)接口執(zhí)行危險(xiǎn)命令，所以無法通過網(wǎng)絡(luò)接口來執(zhí)行 `flushall` 命令。并且，該網(wǎng)站還開啟了認(rèn)證機(jī)制，需要輸入賬號(hào)和密碼才能訪問命令行界面。
為了克服這一問題，我嘗試使用Redis漏洞掃描工具，如Redis-CLI、Redis-Dump 和 Redis-Stat，以及一些知名的IRC聊天室，例如#redis和#redis-sec，來尋求建議和幫助。但是，我都沒有找到有效的方法，從而無法成功進(jìn)行Rredis注入測(cè)試。
在接下來的一些嘗試中，我發(fā)現(xiàn)該電商網(wǎng)站使用了名為 `Redis Sentinel` 的Redis的高可用性解決方案，該方案基于哨兵程序，自動(dòng)監(jiān)視整個(gè)集群中的主節(jié)點(diǎn)和從節(jié)點(diǎn)，并在主節(jié)點(diǎn)出現(xiàn)故障時(shí)自動(dòng)把某個(gè)從節(jié)點(diǎn)提升為主節(jié)點(diǎn)以保證服務(wù)的可用性。這意味著即使我注入成功并清除了所有數(shù)據(jù)，該網(wǎng)站的哨兵進(jìn)程仍然可以恢復(fù)數(shù)據(jù)并保持服務(wù)在線。
最終，我被迫放棄了我原本希望成功進(jìn)行的Redis注入測(cè)試。但是，這一經(jīng)歷也讓我更加深入地了解了Redis的一些高級(jí)功能，包括高可用性解決方案和安全機(jī)制。
在這個(gè)經(jīng)歷中，我學(xué)到了很多關(guān)于網(wǎng)絡(luò)安全的知識(shí)，包括如何面對(duì)挫折和尋求他人的幫助，以及如何擴(kuò)大我的知識(shí)和技能，避免類似的情況再次發(fā)生。作為一個(gè)安全測(cè)試人員，我們不僅需要具備一定的理論知識(shí)和實(shí)踐技能，還需要懷著探索和挑戰(zhàn)的精神不斷學(xué)習(xí)和進(jìn)步，才能更好地為公司和客戶提供優(yōu)質(zhì)的安全測(cè)試服務(wù)。
香港服務(wù)器選創(chuàng)新互聯(lián)，2H2G首月10元開通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）互聯(lián)網(wǎng)服務(wù)提供商,擁有超過10年的服務(wù)器租用、服務(wù)器托管、云服務(wù)器、虛擬主機(jī)、網(wǎng)站系統(tǒng)開發(fā)經(jīng)驗(yàn)。專業(yè)提供云主機(jī)、虛擬主機(jī)、域名注冊(cè)、VPS主機(jī)、云服務(wù)器、香港云服務(wù)器、免備案服務(wù)器等。
網(wǎng)頁題目：Redis注入失敗一次注入挫折的經(jīng)歷（redis注入不進(jìn)去）
文章轉(zhuǎn)載：http://www.dlmjj.cn/article/djcogic.html
