IMPORTANTE - SEGURIDAD

[Normando Hall]

Colegas... casi me hacen percha un servidor, y es por tener redis
desprotegido. Llegaron casi a tener acceso a la línea de comandos por
medio de los dumbs que genera redis en disco, que ingeniosamente lo
copiaron por medio de ssh en el /etc/crontab.

Parece una boludez lo que les digo, pero tengan mucho cuidado y protejan
sus intalaciones, bindeenlo a que escuche solo el loopback, etc etc.

Les dejo links de cómo proteger mejor, y también como hackear servidores
con redis sin proteger.

http://antirez.com/news/96
http://static.nosec.org/download/redis_crackit_v1.0.pdf
http://www.agarri.fr/kom/archives/2014/09/11/trying_to_hack_redis_via_http_requests/index.html

[Cesar Casas]

Sobre Redis injection (tambien hay para Memcached) habia leido hace tiempo, es un tema serio dejar algo 0.0.0.0, siempre tiene que quedar solo para lookup.

Gracias por compartir!

Abrazo

--
--
-------------------------------------------------------------------
Para obtener más opciones, visita este grupo en
http://groups.google.com/group/webandbeer?hl=es.
El blog del grupo
http://www.webandbeer.com.ar
---
Has recibido este mensaje porque estás suscrito al grupo "webandbeer" de Grupos de Google.
Para anular la suscripción a este grupo y dejar de recibir sus mensajes, envía un correo electrónico a webandbeer+...@googlegroups.com.
Para obtener más opciones, visita https://groups.google.com/d/optout.

--

César Casas
CEO BSD Solutions
http://www.bsdsolutions.com.ar
Phone: +54911-2328-0149

Skype: lortjava

[Tio Oscar]

Che no quiero sonar pedante, pero.... ¿posta? ¿no usan firewall en los server????

Por lo menos bindear los servicios a localhost... chicos media pila.

Para acceder a más opciones, visita https://groups.google.com/d/optout.

[Tio Oscar]

O pasen un par de ips >:D

[Normando Hall]

Si lees el primer link, vas a ver que pueden pasarte la data como sesión por http a través de cualquier medio que utilice redis, salvarla en disco y ejecutar el script. No es sólo una cuestión de firewall. Sin dudas hay muchas puertas abiertas, como correr redis como root por ejemplo.