一个致命的 Redis 命令，导致公司损失 400 万！！

最近安全事故濒发啊，前几天发生了《顺丰高级运维工程师的删库事件》，今天又看到了 PHP 工程师在线执行了 Redis 危险命令导致某公司损失 400 万。。

什么样的 Redis 命令会有如此威力，造成如此大的损失？

具体消息如下：

据云头条报道，某公司技术部发生 2 起本年度 PO 级特大事故，造成公司资金损失 400 万，原因如下：

由于 PHP 工程师直接操作上线 redis，执行 keys wxdb（此处省略）cf8 这样的命令，导致redis锁住，导致 CPU 飙升，引起所有支付链路卡住，等十几秒结束后，所有的请求流量全部挤压到了 rds 数据库中，使数据库产生了雪崩效应，发生了数据库宕机事件。

该公司表示，如再犯类似事故，将直接开除，并表示之后会逐步收回运维部各项权限。

看完这个消息后，我心又一惊，为什么这么低级的问题还在犯？为什么线上的危险命令没有被禁用？这事件报道出来真是觉得很低级。。。

且不说是哪家公司，发生这样的事故，不管是大公司还是小公司，我觉得都不应该，相关负责人应该引咎辞职！！！

对 Redis 稍微有点使用经验的人都知道线上是不能执行 keys * 相关命令的，虽然其模糊匹配功能使用非常方便也很强大，在小数据量情况下使用没什么问题，数据量大会导致 Redis 锁住及 CPU 飙升，在生产环境建议禁用或者重命名！

还有哪些危险命令？

Redis 的危险命令主要有以下几个：

keys
客户端可查询出所有存在的键。

flushdb
Delete all the keys of the currently selected DB. This command never fails.

删除 Redis 中当前所在数据库中的所有记录，并且此命令从不会执行失败。

flushall
Delete all the keys of all the existing databases, not just the currently selected one. This command never fails.

删除 Redis 中所有数据库中的所有记录，不只是当前所在数据库，并且此命令从不会执行失败。

config
客户端可修改 Redis 配置。

怎么禁用或重命名危险命令？

看下 redis.conf 默认配置文件，找到 SECURITY 区域，如以下所示。

################################## SECURITY ###################################

Require clients to issue AUTH <PASSWORD> before processing any other

commands. This might be useful in environments in which you do not trust

others with access to the host running redis-server.

#

This should stay commented out for backward compatibility and because most

people do not need auth (e.g. they run their own servers).

#

Warning: since Redis is pretty fast an outside user can try up to

150k passwords per second against a good box. This means that you should

use a very strong password otherwise it will be very easy to break.

#

requirepass foobared

Command renaming.

#

It is possible to change the name of dangerous commands in a shared

environment. For instance the CONFIG command may be renamed into something

hard to guess so that it will still be available for internal-use tools

but not available for general clients.

#

Example:

#

rename-command CONFIG b840fc02d524045429941cc15f59e41cb7be6c52

#

It is also possible to completely kill a command by renaming it into

an empty string:

#

rename-command CONFIG ""

#

Please note that changing the name of commands that are logged into the

AOF file or transmitted to slaves may cause problems.

看说明，添加 rename-command 配置即可达到安全目的。

1）禁用命令

rename-command KEYS ""
rename-command FLUSHALL ""
rename-command FLUSHDB ""
rename-command CONFIG ""
2）重命名命令

rename-command KEYS "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
rename-command FLUSHALL "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
rename-command FLUSHDB "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
rename-command CONFIG "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
上面的 XX 可以定义新命令名称，或者用随机字符代替。

经过以上的设置之后，危险命令就不会被客户端执行了。

原文地址：http://blog.51cto.com/13963248/2286054

时间： 2024-11-05 11:27:30

一个致命的 Redis 命令，导致公司损失 400 万！！的相关文章

PHP 中一个 False 引发的问题，差点让公司损失一百万

PHP 中一个 False 引发的问题,差点让公司损失一百万 一.场景描述 上周我一个在金融公司的同学,他在线上写一个 Bug,差点造成公司损失百万.幸好他及时发现了这个问题并修复了.这是一个由 PHP 中的 empty 引发的问题.他使用 empty 函数判断值为 False 的参数.按照他的正常逻辑理解,下面这段代码会输出 Yes.但是,结果却是相反的. $arr['is_default'] = false; if (!empty($arr['is_default'])) { echo "Y

redis实战笔记（3）-第3章 Redis命令

第3章 Redis命令 本章主要内容 字符串命令. 列表命令和集合命令 散列命令和有序集合命令 发布命令与订阅命令 其他命令 在每个不同的数据类型的章节里, 展示的都是该数据类型所独有的. 最具代表性的命令. 首先让我们来看看, 除了GET和SET之外, Redis的字符串还支持哪些命令. 3.1 字符串 在Redis里面, 字符串可以存储以下3种类型的值. 字节串( byte string) . 整数. 浮点数. 除了自 增操作和自 减操作之外, Redis还拥有对字节串的其中一部分内容进行读

Redis命令简明示例

一.string命令示例: 1. SET/GET/APPEND/STRLEN: /> redis-cli   #执行Redis客户端工具. redis 127.0.0.1:6379> exists mykey                   #判断该键是否存在,存在返回1,否则返回0. (integer) 0 redis 127.0.0.1:6379> append mykey "hello"      #该键并不存在,因此append命令返回当前Value的长度

Redis命令参考【EXPIRE】

EXPIRE EXPIRE key seconds 为给定 key 设置生存时间,当 key 过期时(生存时间为 0 ),它会被自动删除. 在 Redis 中,带有生存时间的 key 被称为『易失的』(volatile). 生存时间可以通过使用 DEL 命令来删除整个 key 来移除,或者被 SET 和 GETSET 命令覆写(overwrite),这意味着,如果一个命令只是修改(alter)一个带生存时间的 key 的值而不是用一个新的 key 值来代替(replace)它的话,那么生存时间不

Go语言之从0到1实现一个简单的Redis连接池

Go语言之从0到1实现一个简单的Redis连接池 前言 最近学习了一些Go语言开发相关内容,但是苦于手头没有可以练手的项目,学的时候理解不清楚,学过容易忘. 结合之前组内分享时学到的Redis相关知识,以及Redis Protocol文档,就想着自己造个轮子练练手. 这次我把目标放在了Redis client implemented with Go,使用原生Go语言和TCP实现一个简单的Redis连接池和协议解析,以此来让自己入门Go语言,并加深理解和记忆.(这样做直接导致的后果是,最近写JS时

Redis 命令执行过程(下)

在上一篇文章中<Redis 命令执行过程(上)>中,我们首先了解 Redis 命令执行的整体流程,然后细致分析了从 Redis 启动到建立 socket 连接,再到读取 socket 数据到输入缓冲区,解析命令,执行命令等过程的原理和实现细节.接下来,我们来具体看一下 set 和 get 命令的实现细节和如何将命令结果通过输出缓冲区和 socket 发送给 Redis 客户端. set 和 get 命令具体实现 前文讲到 processCommand 方法会从输入缓冲区中解析出对应的 redi

Redis 命令

Redis 命令用于在 redis 服务上执行操作. 要在 redis 服务上执行命令需要一个 redis 客户端.Redis 客户端在我们之前下载的的 redis 的安装包中. 语法 Redis 客户端的基本语法为: $ redis-cli 实例 以下实例讲解了如何启动 redis 客户端: 启动 redis 客户端,打开终端并输入命令 redis-cli.该命令会连接本地的 redis 服务. $redis-cli redis 127.0.0.1:6379> redis 127.0.0.1:

Redis命令拾遗四——集合类型（命令补充）

补充下上篇文章集合的命令. 上篇地址 博客园蜗牛 http://www.cnblogs.com/tdws/p/5785939.html SCARD Key获得执行集合中元素的数量. SDIFFSTORE 目标键 keys ...  将集合做DIFF差集操作,并存储在目标键中. 另外同样有SINTERSTORE,SUNIONSTORE.对于集合还不了解的童鞋,请看上篇文章. 最后一个要介绍的命令就是SRANDMEMBER Key.从目标键中取随机一个元素.他是很有趣的. 目前SetA中有十个元素,

Redis系列--4、Redis命令

键命令.字符串命令.哈希命令.列表命令.集合(有序集合)命令.服务器命令 一.Redis的键命令 S.N. 命令 & 描述 1 DEL key此命令删除键,如果存在 2 DUMP key 该命令返回存储在指定键的值的序列化版本. 3 EXISTS key 此命令检查该键是否存在. 4 EXPIRE key seconds指定键的过期时间 5 EXPIREAT key timestamp 指定的键过期时间.在这里,时间是在Unix时间戳格式 6 PEXPIRE key milliseconds 设