一文详解Redis为什么一定要设置密码原理

什么是Redis？

Redis是一个开源的，内存中的数据存储系统，它可以用作数据库、缓存、消息代理等多种用途，常被称为数据结构服务器。

Redis为什么要设置密码？

Redis默认情况下是没有密码的，可以直接通过网络访问（默认端口为6379），这样会存在安全隐患，恶意攻击者可以直接访问数据而不用权限和密码。

因为数据都是存储在内存中的，所以无需经过耗时的磁盘读写，非常的快速，因此被攻击后造成的数据泄露和损失也会更加的严重，因此为了保证数据安全，必须给Redis设置密码。

Redis密码设置原理

在Redis中设置密码需要使用其提供的AUTH命令进行认证，需要在Redis的配置文件中设置requirepass属性。

例如，要给Redis设置密码为123456，要在配置文件中将requirepass属性设置为123456：

# 在redis.conf中设置密码
requirepass 123456 

当连接到Redis时，需要使用AUTH命令进行认证：

$redis-cli 
$AUTH 123456 # 认证密码 

只有经过密码认证的客户端才能执行命令，否则会返回错误信息。

Redis密码设置的示例

示例1：利用Redis无密码漏洞攻击

假设Redis服务器的IP为192.168.1.100，没有设置密码，以下展示如何利用此漏洞进行攻击。

1. 首先，在本地安装Redis客户端

$ sudo apt-get install redis-server

1. 在终端中使用redis-cli连接Redis服务器，查看Redis的相关信息：

$redis-cli -h 192.168.1.100 info 

如果Redis没有设置密码，则可以得到完整的Redis信息，包括各种配置选项、数据库内容等。

1. 此时，攻击者可以直接执行恶意命令，例如：

$redis-cli -h 192.168.1.100 set password 123456 

上述命令将在Redis数据库中设置一个密码为123456的键值对，这样就可以很轻松地泄露Redis中的数据。

示例2：利用Redis密码认证提高安全性

现在，假设Redis服务器的IP为192.168.1.200，已经设置了密码为123456，请看如何利用密码认证提高Redis服务器的安全性。

1. 在终端中连接Redis服务器：

$redis-cli -h 192.168.1.200 

1. 此时，需要输入密码认证：

$AUTH 123456 

1. 输入正确的密码后，用户就可以执行Redis命令了，例如：

$set key1 value1 # 设置键key1的值value1 
$expire key1 100 # 设置键key1的过期时间为100秒 
$ttl key1 # 查询键key1的剩余生存时间 

可以看到，设置密码后，只有经过认证的用户才能对Redis进行操作，有效提高了Redis服务器的安全性。

结论

说了这么多，要理解的就是：Redis是个非常好用的数据结构服务器，但是由于其默认没有密码，造成了安全隐患，所以在使用之前一定要设置强密码，以保证Redis服务器的安全性。