redis被注入了crackit，但是我关闭了持久化存储功能，如何确定我的服务器是否被黑过？

Question

由于我的疏忽，我两个月前安装的redis忘了设置密码，也绑定了公网IP，所以我今天打开redis一看被注入了crackit这个字段，值为一个ssh-rsa，但是好像在此期间我的root密码一直没被改过，请问是不是意味着他只是注入了密钥，但是并没有替换成功？

我刚装完redis就注释了这三行，理论上应该是关闭了持久化存储功能吧，关闭了的话他使用这种方式还能不能成功黑掉我的服务器？

我问这个问题就是想确认一下我的服务器是不是被他黑成功了？因为我服务器上有重要数据，谢谢各位了！

Answer 1

这样子就是关闭持久化。
看看/root/.ssh 下的authorized_keys有没有异常
这个漏洞只能通过redis写文件，主要就是写ssh-rsa 然后在ssh登录上去
如果是通过redis执行的lua脚本，这个就没法了。
如果被黑，也有可能会留下其他后门，然后把本次记录给清楚掉。这样子你就不知道你被黑过。