首页 > 其他分享 >Web 安全:Memcached 未授权访问漏洞.(11211端口)

Web 安全:Memcached 未授权访问漏洞.(11211端口)

时间:2024-07-30 12:28:45浏览次数:16  
标签:Web 服务 Memcached 端口 访问 11211 memcached

Web 安全:Memcached 未授权访问漏洞

Memcached 是一套常用的 key-value 缓存系统,由于它本身没有权限控制模块,所以对公网开放的 Memcache 服务很容易被攻击者扫描发现。然而 Memcached 的默认配置,11211 端口 不需要密码即可访问,可以直接连接到 Memcached 服务的 11211 端口获取数据库中的信息,造成严重的信息泄露。


目录:

Web 安全:Memcached 未授权访问漏洞

环境的搭建:

(1)这样我使用的 kali 直接搭建.

(2)开启 Memcached 服务.

(3)需要查看 配置文件端口 是否 绑定的是127.0.0.1,如果是绑定是不可以连接的.

(4)解决方法:

打开 /etc/memcached.conf 文件.

修改后重启 Memcached 服务(如果没有成功修改,则重启虚拟机.)

Memcached 未授权访问漏洞:

(1)因为是默认是没有密码的,所以可以直接连接看看是否成功.

(2)查看memcache的服务状态.

修复方案:

(1)配置 Memcached 监听本地回环地址 127.0.0.1,以限制外部访问.

(2)使用主机防火墙(iptables、firewalld 等)和网络防火墙对 Memcached 服务端口进行过滤.

(3)配置访问控制策略,最小化权限运行,修改默认端口.


环境的搭建:

(1)这样我使用的 kali 直接搭建.

apt-get install memcached libmemcached-tools -y


(2)开启 Memcached 服务.

systemctl start memcached.service
systemctl status memcached.service


(3)需要查看 配置文件端口 是否 绑定的是127.0.0.1,如果是绑定是不可以连接的.

netstat -ano | grep 11211

(4)解决方法:

打开 /etc/memcached.conf 文件.

修改后重启 Memcached 服务(如果没有成功修改,则重启虚拟机.)
sudo systemctl restart memcached


Memcached 未授权访问漏洞:

(1)因为是默认是没有密码的,所以可以直接连接看看是否成功.

telnet 192.168.1.101 11211

telnet 目标的IP地址 端口

(2)查看memcache的服务状态.

stats


修复方案:

(1)配置 Memcached 监听本地回环地址 127.0.0.1,以限制外部访问.

(2)使用主机防火墙(iptables、firewalld 等)和网络防火墙对 Memcached 服务端口进行过滤.

(3)配置访问控制策略,最小化权限运行,修改默认端口.

   

   

   

参考链接:常见未授权访问漏洞总结 - 先知社区

标签:Web,服务,Memcached,端口,访问,11211,memcached
From: https://blog.csdn.net/weixin_54977781/article/details/140776123

相关文章

  • 了解Web标准,HTML 语法规范,使用 HBuilder X 构建文档骨架,HBuilder X 生成骨架标签新增
    Web标准是由W3C组织和其他标准化组织制定的一系列标准的集合。W3C(万维网联盟)是国际最著名的标准化组织。遵循Web标准可以让不同的开发人员写出的页面更标准、更统一外,还有以下优点:1.让Web的发展前景更广阔。2.内容能被更广泛的设备访问。3.更容易被搜寻引擎搜索。......
  • WebSocket 的产生
    HTTP不断轮询怎么样才能在用户不做任何操作的情况下,网页能收到消息并发生变更。最常见的解决方案是,网页的前端代码里不断定时发HTTP请求到服务器,服务器收到请求后给客户端响应消息。这种方式的应用场景很多,例如扫码登录,前端网页不知道用户是否扫描,只能不断询问后端服务器。......
  • CTFshow web入门vip 文件上传
    web151题目提示前端校验不可靠,看源码可以看到是传到upload.php这个文件去接受文件上传,文件类型为图片,后缀限制为png然后把前端验证修改一下,把文件后缀限制改成php写个一句话木马传进去1.php<?phpeval($_POST['x']);?>url中需要加入我们传入文件的目录/upload.php,并指定/......
  • Zabbix 5.0 LTS 配置企业微信(Webhook)自动发送告警信息
    依据前面文章《Zabbix5.0LTSURL健康监测》环境,实现企业微信(Webhook)自动发送告警信息。一、创建企业微信机器人先在自己的企业微信群里创建一个机器人,并获取其WebHook地址。右击群聊天卡片,添加群机器人。获得一个类似下图的WebHook地址。注意,这个WebHook地址非常......
  • Axure Web端元件库:构建高效互动网页的基石
    在快速迭代的互联网时代,Web设计与开发不仅追求视觉上的美感,更注重用户体验的流畅与功能的强大。AxureRP,作为一款专业的原型设计工具,凭借其强大的交互设计能力和丰富的元件库,成为了众多UI/UX设计师、产品经理及前端开发人员的首选。本文将深入探讨AxureWeb端元件库,特别是其涵......
  • 你能将 HTTPS 功能添加到 python Flask Web 服务器吗?
    我正在尝试构建一个Web界面来模拟网络设备上的静态接口,该网络设备使用摘要式身份验证和HTTPS。我想出了如何将摘要式身份验证集成到Web服务器中,但我似乎无法找到如何使用FLASK获取https,如果您可以向我展示如何实现,请评论我需要使用下面的代码做什么来实现这一点。from......
  • vue项目引入live2d保姆级教程--web端、多种方法
    一、自建live2d运行1、选择SDK——live2d Cubism SDK (1)链接:Live2DCubismSDK|Live2DCubism     打开网站,它长这样:(2)选择web,到下个页面(3)下载勾选同意,填写邮箱,点击下载,得到一个压缩包注意:如果你需要完整的的SDK按上文来就行,实际这篇文章主要用到内容是c......
  • Web系列-文件上传
    Web系列-文件上传做题思路前端限制了上传文件的后缀,可以在前端修改代码或者bp抓包,再上传符合前端要求的文件类型,抓包后进行修改。如果是php的环境,可以利用.user.ini,是一个局部配置文件,可以通过配置选项使每个php文件头或文件尾都进行文件包含.user.ini利用需要在此目录下还有p......
  • 【Vulnhub靶场AI-WEB-1.0打靶教程】
     第一步:查看虚拟机的ip第二步:扫描ip下开放的80端口第三步:扫描查到的ip地址下的目录第四步:访问查到的目录访问robot.txt第五步:访问robot.txt显示出的目录第六步:打开kali终端,使用sqlmap功能sqlmap-u"http://192.168.189.153/se3reTdir777/index.php"-data"uid=......
  • 11. 2 用Python开发一个简单的Web服务器
    用Python开发一个简单的Web服务器11.2用Python开发一个简单的Web服务器11.2.1需求分析11.2.2系统设计11.2.3详细设计11.2.4实现11.2.5测试11.2.6部署和维护11.2.7文档和帮助文档11.2.8用户反馈11.2用Python开发一个简单的Web服务......