99精品国产综合久久久久五月天,免费观看欧美大片毛片不用播放器 ,AV无码理论片在线观看免费网站,国产精品国产成人国产三级

標(biāo)題: [求助] MemCache存在未授權(quán)訪問漏洞，這個(gè)對(duì)wdcp有影響嗎？怎么解決這個(gè) [打印本頁]

作者: wonenea 時(shí)間: 2015-3-9 10:45 標(biāo)題: MemCache存在未授權(quán)訪問漏洞，這個(gè)對(duì)wdcp有影響嗎？怎么解決這個(gè)

本帖最后由 wonenea 于 2015-3-9 10:51 編輯

服務(wù)商給發(fā)了一個(gè)郵件。
－－－－－－－－－

您好！接上級(jí)有關(guān)部門通知，您有如下ip的key-value數(shù)據(jù)存儲(chǔ)服務(wù)器(memcache或redis)，存在未授權(quán)訪問漏洞，可導(dǎo)致存儲(chǔ)信息（包括web會(huì)話、PHP代碼等）泄露。建議加強(qiáng)訪問控制：設(shè)置用戶名密碼、管理端口不要對(duì)公網(wǎng)開放等。

2*.*.*.8

驗(yàn)證方法：http://downinfo.myhostadmin.net/check.rar

－－－－－－－－－－－－

這個(gè)對(duì)wdcp有影響嗎？怎么解決這個(gè)？謝謝大家的關(guān)注！

以下為郵件的附件內(nèi)容。
－－－－－－－－－－－－－

國家信息安全漏洞共享平臺(tái)(CNVD)漏洞通報(bào)

關(guān)于多個(gè)IP主機(jī)MemCache數(shù)據(jù)庫存在未授權(quán)訪問漏洞的情況通報(bào)

國家互聯(lián)網(wǎng)應(yīng)急中心（CNCERT） 2015年02月15日

1.
漏洞描述

漏洞事件：

多個(gè)IP主機(jī)MemCache數(shù)據(jù)庫存在未授權(quán)訪問漏洞

通報(bào)時(shí)間：

2015年02月15日

漏洞引發(fā)的威脅：

查看、修改、刪除memcache緩存內(nèi)容。

評(píng)分評(píng)級(jí)：(AV:R/AC/Au:NR/C/A/I/B:N)score:7.48（最高10分，高危），即：遠(yuǎn)程攻擊、攻擊難度低、不需要用戶認(rèn)證，對(duì)機(jī)密性、完整性、可用性構(gòu)成部分影響。

影響產(chǎn)品：

多個(gè)IP主機(jī)MemCache數(shù)據(jù)庫

信息來源：

CNVD

漏洞描述：

CNVD獲知，多個(gè)IP主機(jī)MemCache數(shù)據(jù)庫存在未授權(quán)訪問漏洞。經(jīng)測(cè)試，情況屬實(shí)。綜合利用漏洞，允許攻擊者未授權(quán)訪問memcache服務(wù)器，查看、修改、刪除memcache緩存內(nèi)容，構(gòu)成信息泄露和運(yùn)行安全風(fēng)險(xiǎn)。

影響范圍：

多個(gè)IP主機(jī)

2.
驗(yàn)證情況2.1MemCache存在未授權(quán)訪問漏洞：以人民搜索屬IP（58.68.249.46）為例：

telnet 58.68.249.46 11211

無需用戶名密碼，可以直接連接memcache 服務(wù)的11211端口：

執(zhí)行命令：stats

查看memcache 服務(wù)狀態(tài)：

執(zhí)行命令：stats items

查看所有items

執(zhí)行命令：stats cachedump 32 0

獲得緩存key：

執(zhí)行命令：get :state:264861539228401373:261588

通過key讀取相應(yīng)value ，獲得實(shí)際緩存內(nèi)容，造成敏感信息泄露：

2.2 此外，還可以用memcachephp 工具進(jìn)行圖形化查看，功能與telnet方法相同：

首先配置memcachephp 的用戶名密碼和所要連接的IP：

……

可以利用php遍歷下載memcache緩存數(shù)據(jù)：（CNVD未測(cè)試）

還可以利用replace、delete、flush_all 等命令修改、刪除緩存內(nèi)容�？梢灶A(yù)見的是，這些命令會(huì)影響memcache 的正常運(yùn)行，進(jìn)而可能影響相應(yīng)依賴memcache的服務(wù)（如：web服務(wù)）的運(yùn)行效率。

3.處置措施

3.1針對(duì)未授權(quán)訪問漏洞，建議加強(qiáng)訪問控制：設(shè)置用戶名密碼、管理端口不要對(duì)公網(wǎng)開放等。

關(guān)于CNVD

國家信息安全漏洞共享平臺(tái)（China NationalVulnerability Database，簡稱CNVD）是CNCERT聯(lián)合國內(nèi)重要信息系統(tǒng)單位、基礎(chǔ)電信運(yùn)營商、網(wǎng)絡(luò)安全廠商、軟件廠商和互聯(lián)網(wǎng)企業(yè)建立的信息安全漏洞信息共享知識(shí)庫，致力于建立國家統(tǒng)一的信息安全漏洞收集、發(fā)布、驗(yàn)證、分析等應(yīng)急處理體系。

關(guān)于CNCERT

國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心（簡稱“國家互聯(lián)網(wǎng)應(yīng)急中心”，英文簡稱是CNCERT或CNCERT/CC），成立于2002年9月，為非政府非盈利的網(wǎng)絡(luò)安全技術(shù)中心，是我國網(wǎng)絡(luò)安全應(yīng)急體系的核心協(xié)調(diào)機(jī)構(gòu)。

作為國家級(jí)應(yīng)急中心，CNCERT的主要職責(zé)是：按照“積極預(yù)防、及時(shí)發(fā)現(xiàn)、快速響應(yīng)、力保恢復(fù)”的方針，開展互聯(lián)網(wǎng)網(wǎng)絡(luò)安全事件的預(yù)防、發(fā)現(xiàn)、預(yù)警和協(xié)調(diào)處置等工作，維護(hù)國家公共互聯(lián)網(wǎng)安全，保障基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的安全運(yùn)行。

網(wǎng)址：www.cert.org.cn

郵箱：vreport@cert.org.cn

電話：010-8299099
9

歡迎光臨 WDlinux官方論壇 (http://fudaan.com/bbs/)