PHP安全:Memcache的使用安全

安全
Memcache服务器端都是直接通过客户端连接后直接操作,没有任何的验证过程,不需要认证就可以随意交互。

 [[351189]]

Memcache服务器端都是直接通过客户端连接后直接操作,没有任何的验证过程,不需要认证就可以随意交互。服务器直接暴露在互联网上是比较危险的,轻则数据泄露被其他无关人员查看,重则服务器被入侵。

Memcache暴露在外网中会被攻击者利用发起DRDoS反射攻击,通过发送大量带有被害者IP地址的UDP数据包给放大器主机,然后放大器主机对伪造的IP地址源做出大量回应,形成分布式拒绝服务攻击。

1、IP访问限制

将Memcache服务放置于可信域内,有外网时不要监听0.0.0.0,有特殊需求可以通过防火墙设置acl或者添加安全组。通过添加Memcache启动参数来监听内网的IP地址和端口,内网间的访问能够有效阻止攻击者的非法访问。 

  1. # memcached -d -m 1024 -u nobody -l 10.16.0.20 -p 11211 -c 1024 -P/tmp/memcached.pid 

以上配置中设置Memcache服务器端只允许监听内网的10.16.0.20的IP的11211端口,占用1024MB内存,并且允许最多1024个并发连接。

如果是对外提供服务,并且需要通过外网IP来访问Memcache,防止机器扫描和SSRF等攻击,可以将Memcache的监听端口随机改为其他的端口。

同时使用防火墙或者代理程序来过滤非法访问。一般在Linux下可以使用iptables或者FreeBSD下的ipfw来指定一些规则防止一些非法的访问,比如可以设置只允许特定外网IP访问Memcache服务器,同时阻止其他非法访问。 

  1. # iptables -F  
  2. # iptables -P INPUT DROP  
  3. # iptables -A INPUT -p tcp -s 192.168.0.2 --dport 11211 -j ACCEPT  
  4. # iptables -A INPUT -p udp -s 192.168.0.2 --dport 11211 -j ACCEPT 

上面的iptables规则就是只允许110.18.0.2这台服务器对Memcache服务器的访问,能够有效地阻止一些非法访问,相应地也可以增加一些其他的规则来加强安全性,这个可以根据自己的需要来进行。

2、使用SASL验证

简单验证安全层(Simple Authentication Security Layer,SASL)为应用程序和共享库的研发人员提供了用于验证、数据完整性检查和加密的机制。

以CentOS为例来给Memcache添加SASL支持。

首先在系统中安装SASL支持。 

  1. yum install cyrus-sasl cyrus-sasl-lib cyrus-sasl-devel cyrus-sasl-plain 

查看安装结果。 

  1. $saslauthd -v  
  2. saslauthd 2.1.23  
  3. authentication mechanisms: getpwent kerberos5 pamrimap shadow ldap 

当前可使用的密码验证方法有getwent、kerberos5、pam、rimap、shadow和ldap,配置成使用shadow方式进行认证。 

  1. # 修改/etc/sysconfig/saslauthd文件  
  2. MECH=shadow 

重启saslauthd。 

  1. sudo /etc/init.d/saslauthd restart  
  2. Stopping saslauthd: [OK]  
  3. Starting saslauthd: [OK] 

设置Memcache用户的SASL认证密码。 

  1. saslpasswd2 -c -a memcached memcacheuser  
  2. Password: #输入密码  
  3. Again (for verification): #再次输入密码 

最终生成的密码保存在/etc/sasldb2中。

使用sasldblistusers2命令查看已经添加的用户。 

  1. memcacheuser@3b7fc9690a12:userPassword 

在libmemcached官网选择适合自己的libmemcached源码压缩包,如使用1.0.18版libmemcached-1.0.18.tar.gz进行编译安装,添加--enable-sasl选项开启SASL认证功能。 

  1. tar zxvf libmemcached-1.0.18.tar.gz  
  2. cd libmemcached-1.0.18  
  3. ./configure --prefix=/usr/local/libmemcached --enable-sasl  
  4. make  
  5. make install 

在memcached官网下载memcached服务端源码,启用SASL验证功能需要在编译时指定--enable-sasl参数,否则安装成功后,无法启用SASL执行安装。 

  1. tar zxvf memcached-1.5.8.tar.gz  
  2. cd libmemcached-1.5.8  
  3. ./configure --enable-sasl --prefix=/opt/memcached --with-libevent=/opt/memcached/libevent  
  4. make  
  5. make install 

启动memcached服务,启用SASL验证功能,在启动时需要加-S(大写S)参数。 

  1. /opt/memcached/bin/memcached -S -m 2048 -u xxxxx -P  
  2. /tmp/memcached/memcached.pid -c 1024 -p 11211 -b 1024 -d 

在PECL网站搜索Memcached,下载memcached-3.0.4.tgz,解压安装PHP的Memcached扩展。 

  1. tar zxvf memcached-2.1.0.tar.gz  
  2. cd memcached-2.1.0  
  3. phpize  
  4. ./configure --with-php-config=php-config --with-libmemcached-dir=/usr/local/libmemcached --enable-memcached-sasl  
  5. make  
  6. make install 

修改PHP配置文件使SASL生效,同时重启PHP。 

  1. # vim /etc/php.d/memcache.ini  
  2. extension=memcached.so  
  3. memcached.use_sasl=1 

在PHP代码中使用SASL用户名和密码连接Memcached。 

  1. $mc=new Memcached();  
  2. $memcached->addServer('127.0.0.1',11211);  
  3. $mc->setOption(Memcached::OPT_BINARY_PROTOCOL,true);  
  4. $mc->setSaslAuthData("memcacheuser","password");  
  5. $mc->set('key','value');  
  6. echo $mc->get('key');  

 

责任编辑:庞桂玉 来源: 计算机与网络安全
相关推荐

2020-11-06 15:00:58

PHPMySQL数据库

2020-08-19 15:30:04

PHP网络安全代码

2020-10-14 11:30:10

PHP网络安全加密

2018-10-06 05:00:53

2016-10-10 00:18:27

2010-07-15 15:49:53

PHP网站安全

2009-02-23 09:11:21

2011-09-14 10:38:39

2020-10-24 14:10:26

PHP网络安全人机识别

2013-06-05 09:51:04

2009-12-02 09:21:04

PHP数据过滤

2009-12-11 15:28:02

PHP安全防护

2009-12-08 09:51:10

PHP intval函

2011-07-14 09:38:13

2010-08-19 10:21:09

2018-01-31 15:35:40

2009-07-03 14:31:51

2009-11-24 13:17:16

PHP安全验证数据

2012-04-12 11:28:04

2019-03-08 08:55:16

PHP7PHP5web安全
点赞
收藏

51CTO技术栈公众号