Redis 未授权访问漏洞利用总结

Redis 是一个开源的使用 ANSI C 语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value 数据库，并提供多种语言的 API。

一、漏洞介绍

Redis 默认情况下，会绑定在 0.0.0.0:6379，这样将会将 Redis 服务暴露到公网上，如果在没有开启认证的情况下，可以导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据。攻击者在未授权访问 Redis 的情况下可以利用 Redis 的相关方法，可以成功在 Redis 服务器上写入公钥，进而可以使用对应私钥直接登录目标服务器。

漏洞描述

部分 Redis 绑定在 0.0.0.0:6379，并且没有开启认证（这是 Redis 的默认配置），如果没有进行采用相关的策略，比如添加防火墙规则避免其他非信任来源 ip 访问等，将会导致 Redis 服务直接暴露在公网上，导致其他用户可以直接在非授权情况下直接访问 Redis 服务并进行相关操作。

利用 Redis 自身的提供的 config 命令，可以进行写文件操作，攻击者可以成功将自己的公钥写入目标服务器的 /root/.ssh 文件夹的 authotrized_keys 文件中，进而可以直接使用对应的私钥登录目标服务器。

相信大家对 Omi 应该都不陌生了，如果还有不了解的同学先看看这里。了解并使用 Omi 之后你会发现真的回不去了~~~

精通 Omi 框架

先简单说一下吧，Omi 就是一个可以快速开发项目的组件化框架，和 vue／react 一样为了节省生产力的。想了解 Omi 和 vue 还有 react 区别的，上面文档有讲解，或者加入群 256426170，可以面对面咨询 Omi 作者 dnt。我这篇文章将使用 Omi 从 0 到 1 来完成一个移动端的项目，让大家了解 Omi 开发的方便快捷。

简单的、高效的帧动画生成工具

gka

gka 是一款简单的、高效的帧动画生成工具。

通过对图片集进行处理，一键式生成序列帧动画文件，并内置相关优化。

• 一键式 : 图片文件批量序列化重命名，生成 css keyframes，生成帧动画预览文件
• 性能佳 : 支持图片压缩✓，支持合图模式✓，相同帧图片复用✓
• 多模板 : 内置多种文件输出模板，支持自定义模板

最新更新，请访问 github 地址 https://github.com/joeyguo/gka

腾讯 Web 前端大会已经圆满结束啦。希望大家收获满满干货的同时，能够在现场与大牛们碰撞各种火花。

会前花絮

大会的工作人员，基本都是 AlloyTeam 的工程师哥哥们，在忙完一天的需求之后，周五晚上纷纷赶赴大会现场筹备，为了准备 1000 多位参会者的签到礼物、做设备调试，大家奋战至深夜。

pasition

Pasition - Path Transition with little JS code, render to anywhere - 超小尺寸的 Path 过渡动画类库

• Github 源代码
• 在线演示

最近和贝塞尔曲线杠上了，如 curvejs 和 pasition 都是贝塞尔曲线的应用案例，未来还有一款和贝塞尔曲线相关的开源的东西，暂时保密。

原文链接

腾讯 Web 前端大会完美落幕。希望大家能收获满满干货。博主负责大会部份的讲师的遴选。虽然我全程都没怎么听（基本都在安排展位和发微博），但我希望通过选题的角度，以及 PPT 的内容，给大家分享一点思路和分享的导读。

本周六就是万众期待的腾讯 Web 前端大会了，小编这周激动得都睡不着，因为可以见到好多大牛，还可以跟微信群、QQ 群里技术聊得嗨的网友面基。下面小编就来介绍一下获取最佳参会体验的小 Tips。

前言

前文已经讲解过如何解析一张 png 图片，然而对于扫描算法里只是说明了逐行扫描的方式。其实 png 还支持一种隔行扫描技术，即 Adam7 隔行扫描算法。

优劣

使用隔行扫描有什么好处呢？如果大家有去仔细观察的话，会发现网络上有一些 png 图在加载时可以做到先显示出比较模糊的图片，然后逐渐越来越清晰，最后显示出完整的图片，类似如下效果：

这就是隔行扫描能带来的效果。隔行扫描一共会进行 1 到 7 次扫描，每一次都是跳着部分像素点进行扫描的，先扫描到像素点可以先渲染，每多一次扫描，图片就会更清晰，到最后一次扫描时就会扫描完所有像素点，进而渲染出完整的图片。

当然，也因为要进行跳像素扫描，整张图片会存储更多额外数据而导致图片大小会稍微变大，具体增加了什么额外数据下文会进行讲解。

本次大会将是腾讯规模最大的 Web 前端盛会。主办方腾讯， 中国顶级互联网公司之一，创造了许多亿万海量用户级的优秀 Web 应用，积累了深厚的 Web 前端开发经验 。

大会讲师将会广邀国内外的前端知名大牛，他们有著名流行框架的作者、知名前端书籍的作者、Web 工程化方面的权威等。其中还有部分讲师是从腾讯上千名前端工程师中精挑细选的优秀高级工程师，将为你带来最具实践价值、最接地气的前端开发经验分享，内容不仅涵盖 Web 新技术、Node.js、框架、工程化、 图形处理等前端前沿内容 ，还包含极致的性能优化、海量用户运营等具有腾讯前端特色的宝贵经验。

无论您是资深的前端大咖，还是初出茅庐的前端菜鸟，相信都可以通过本次大会获得非常有价值的帮助。

哈希函数介绍

什么是哈希

在记录的关键字与记录的存储地址之间建立的一种对应关系叫哈希函数。
哈希函数就是一种映射，是从关键字到存储地址的映射。
通常，包含哈希函数的算法的算法复杂度都假设为 O(1)，这就是为什么在哈希表中搜索数据的时间复杂度会被认为是"平均为 O(1) 的复杂度".

基本概念

在讲解具体内容前，首先我们要清楚以下几个概念：
1. 冲突（碰撞）
对于不同的关键字 ki、kj，若 ki != kj，但 H(ki) = H(kj) 的现象叫冲突(collision) ，即不同的输入却有相同的输出。我们应该尽量避免冲突，因为冲突不仅会使我们在查找的时候效率变慢，还甚至会被攻击者利用从而大量消耗系统资源。
至于冲突的解决方案有很多种，具体可以参考这篇哈希表针对冲突的两种方式优缺点是什么?。

哈希函数的应用

哈希算法广泛应用于很多场景，例如安全加密和数据结构中哈希表的查找，布隆过滤器和负载均衡（一致性哈希）等等。
下面介绍几个常用的哈希算法。