Redis发布订阅如何防范消息注入攻击_验证发布消息的合法性与安全性

Redis发布订阅如何防范消息注入攻击

Redis的PUB/SUB（发布/订阅）机制本身不提供任何消息内容校验。这意味着，一旦PUBLISH命令被允许执行，任何字符串都可能被发送到目标频道，其中可能包含精心构造的恶意数据，例如内嵌的eval命令、系统调用、JSON注入代码或超长二进制载荷。因此，安全防护的核心必须聚焦于“控制发布权限”和“安全处理消息”两个层面，绝不能仅仅依赖业务应用层的过滤。

如何禁止未授权客户端执行 PUBLISH 命令

应用层的权限验证无法阻止直接连接Redis端口的攻击者。真正的安全防线必须从Redis服务端构建：

• 禁用或重命名关键命令：在redis.conf配置文件中，使用rename-command PUBLISH ""来彻底禁用发布命令。若业务必需，可将其改为一个复杂且不易猜测的别名，例如rename-command PUBLISH "internal_pub_secure"。
• 强制启用高强度密码认证：务必配置requirepass your_strong_password，并确保该高强度密码未在前端代码或公开配置文件中硬编码泄露。
• 严格限制网络访问：使用bind指令将Redis服务严格绑定在指定的内网IP地址上（如127.0.0.1或10.0.0.1），绝对禁止使用bind 0.0.0.0向公网开放服务。
• 管控其他高危命令：在生产环境中，同样建议禁用或重命名CONFIG、DEBUG、FLUSHALL等可能造成数据丢失或服务中断的命令，例如rename-command CONFIG ""。

为什么不能仅依赖应用层过滤消息内容

设想一个场景：攻击者绕过业务逻辑，直接连接Redis并执行了PUBLISH命令。此时，恶意消息将直接抵达所有订阅者。待消费者端再进行校验，往往为时已晚。常见的攻击后果包括：

• 消费者调用JSON.parse()解析时，遭遇畸形结构或深度嵌套的JSON数据，导致栈溢出崩溃。
• 使用正则表达式处理包含复杂递归模式的payload，触发ReDoS（正则表达式拒绝服务）攻击，耗尽服务器CPU资源。
• 消息体大小超过预设限制（如1MB），而消费者未做长度校验，导致内存急剧增长甚至触发OOM（内存溢出）。
• 消息中携带了Lua脚本片段（如return os.execute("rm -rf /")），被下游系统错误解析并执行。

因此，所有SUBSCRIBE客户端在接收到消息后，必须立即执行三道基础安全校验：严格截断长度（例如超过1MB直接丢弃）、验证JSON结构有效性、剥离非业务字段（如__proto__、cmd、eval等可能用于注入攻击的字段）。

如何安全使用 Lua 脚本处理订阅消息

如果消费者使用EVAL命令执行Lua脚本来处理消息，那么脚本本身就可能成为新的注入攻击点。必须遵循以下关键安全约束：

• 禁止动态拼接Redis命令：类似redis.call(cmd_name .. "_ex")的写法风险极高，这为命令注入敞开了大门。
• 禁止动态加载代码：在Lua脚本中，绝对禁止使用loadstring、load或任何形式的动态代码加载功能。
• 严格校验所有输入参数：所有用户输入应仅通过ARGV表传入脚本。在脚本内部，必须先用tonumber()、类型检查或正则表达式严格校验其格式，校验失败则立即返回错误，例如return {err="invalid argument format"}。
• 谨慎使用错误捕获：避免使用pcall包裹敏感调用来实现条件分支，因为错误响应的差异可能被攻击者用于时序侧信道探测。
• 安全逻辑上移：权限判断、数据边界检查等核心安全逻辑，不应下沉到Lua脚本中完成，而应放在更可控的客户端或服务端层面处理。

频道名本身也是攻击面，不能忽略

Redis同样不会对频道名进行合法性校验。攻击者可以批量创建如tmp_*、log_*等具有规律性的频道进行干扰或探测。防御措施包括：

• 定期扫描异常频道：使用PUBSUB CHANNELS "tmp_*"命令，定期扫描匹配特定可疑模式的频道名。
• 确认频道有效性：对于扫描到的可疑频道，可进一步使用SCAN 0 MATCH "tmp_*" COUNT 1000命令确认是否有相关键存在（完全无订阅者的空频道不会出现在PUBSUB CHANNELS结果中）。
• 发送清理指令：确认为恶意或垃圾频道后，可向该频道发布一条带有明确终止标识的管控消息（例如{"action":"cleanup", "reason":"abuse"}），通知订阅者主动退订并清理本地状态。
• 理解频道生命周期：需注意，UNSUBSCRIBE仅影响当前连接。Redis服务端没有主动删除频道的命令。一个频道的最终消失，依赖于不再有PUBLISH命令维持其活跃状态。

需要警惕的是，最难以防范的是“合法身份配合非法内容”的组合攻击。一个已通过ACL和密码认证的客户端，如果其参数校验存在疏漏，依然可能成为注入攻击的入口。因此，必须将每一个ARGV参数、每一条message.payload、甚至每一个频道名，都视为潜在的攻击载荷来严格对待。在Redis消息安全领域，细节决定成败，防护必须层层深入。