MySQL安全问题

作者：沉佩颖岳玲 | 来源：互联网 | 2023-09-14 13:46

对于任何一种数据库来说，安全问题都是非常重要的。如果数据库出现安全漏洞，轻则数据被窃取，重则数据被破坏，这些后果对于一些重要

对于任何一种数据库来说&＃xff0c;安全问题都是非常重要的。如果数据库出现安全漏洞&＃xff0c;轻则数据被窃取&＃xff0c;重则数据被破坏&＃xff0c;这些后果对于一些重要的数据库都是非常严重的。下面来从操作系统和数据库两个层对MySQL 的安全问题进行讨论。

操作系统相关的安全问题

常见的操作系统安全问题主要出现在MySQL 的安装和启动过程中.

1、严格控制操作系统账号和权限

在数据库服务器上要严格控制操作系统的账号和权限&＃xff0c;比如&＃xff1a;

锁定mysql用户
其他任何用户都采取独立的账号登录&＃xff0c;管理员通过mysql专有用户管理MySQL&＃xff0c;或者通过root su到mysql用户下进行管理
mysql用户目录下&＃xff0c;除了数据文件目录&＃xff0c;其他文件和目录属主都改为root

2、尽量避免以root 权限运行MySQL

MySQL 安装完毕后&＃xff0c;一般会将数据目录属主设置为mysql 用户&＃xff0c;而将MySQL 软件目录的属主设置为root&＃xff0c;这样做的目的是当使用mysql 启动数据库时&＃xff0c;可以防止任何具有FILE 权限的用户能够用root 创建文件。而如果使用root 用户启动数据库&＃xff0c;则任何具有FILE 权限的用户都可以读写root 用户的文件&＃xff0c;这样会给系统造成严重的安全隐患。

3、防止DNS欺骗

创建用户时&＃xff0c;host 可以指定域名或者IP 地址。但是&＃xff0c;如果指定域名&＃xff0c;就可能带来如下安全隐患&＃xff1a; 如果域名对应的IP 地址被恶意修改&＃xff0c;则数据库就会被恶意的IP 地址进行访问&＃xff0c;导致安全隐患。

数据库相关的安全问题

常见的数据库问题大多数是由于账号的管理不当造成的。应该加强对账号管理的安全意识。

1、删除匿名账号

在某些版本的中&＃xff0c;安装完毕MySQL 后&＃xff0c;会自动安装一个空账号&＃xff0c;此账号具有对test 数据库的全部权限&＃xff0c;普通用户只需要执行mysql 命令即可登录MySQL 数据库&＃xff0c;这个时候默认使用了空用户&＃xff0c;可以在test 数据库里面做各种操作&＃xff0c;比如可以创建一个大表&＃xff0c;占用大量磁盘空间&＃xff0c;这样给系统造成了安全隐患。

2、给root账号设置口令

MySQL 安装完毕后&＃xff0c;root 默认口令为空&＃xff0c;需要马上修改口令

3、设置安全密码

密码的安全体现在以下两个方面&＃xff1a;

设置安全的密码&＃xff0c;建议使用6位以上字母、数字、下划线和一些特殊字符组合的而成的字符串
使用上的安全&＃xff0c;使用密码期间尽量保证使用过程安全&＃xff0c;不会被别人窃取

第一点就不用说了&＃xff0c;越长越复杂越没有规律的密码越安全。

对于第二点&＃xff0c;可以总结一下&＃xff0c;在日常工作中&＃xff0c;使用密码一般是采用以下几种方式。

&＃xff08;1&＃xff09;直接将密码写在命令行中

mysql -uroot -p123

&＃xff08;2&＃xff09;交互式方式输入密码

mysql -uroot -p

&＃xff08;3&＃xff09;将用户名和密码写在配置文件里面&＃xff0c;连接的时候自动读取&＃xff0c;比如应用连接数据库或者执行一些批处理脚本。对于这种方式&＃xff0c;MySQL 供了一种方法&＃xff0c;在my.cnf 里面写入连接信息

[client] user&＃61;username password&＃61;password

然后对配置文件进行严格的权限限制&＃xff0c;例如&＃xff1a;

chomod &＃43;600 my.cnf

以上是3种常见的密码使用方式。很显然&＃xff0c;第1种最不安全&＃xff0c;因为它将密码写成为明文&＃xff1b;第2种比较安全&＃xff0c;但是只能使用在交互的界面下&＃xff1b;第3种比较方便&＃xff0c;但是需要将配置文件设置严格的存取权限&＃xff0c;而且任何只要可以登录操作系统的用户都可能自动登录&＃xff0c;存在一定的安全隐患。

第3种方法通常使用不多&＃xff0c;下面举一个例子

&＃xff08;1&＃xff09;输入mysql 无法登录

[root&＃64;iZ28dr6w0qvZ ~]# mysql ERROR 1045 (28000): Access denied for user &＃39;root&＃39;&＃64;&＃39;localhost&＃39; (using password: NO)

&＃xff08;2&＃xff09;修改配置文件&＃xff0c;加入连接信息

[root&＃64;iZ28dr6w0qvZ ~]# vim /etc/my.cnf ... [client] #password &＃61; your_password user&＃61;cqh password&＃61;123

&＃xff08;3&＃xff09;重启数据库后&＃xff0c;输入mysql

[root&＃64;iZ28dr6w0qvZ ~]# service mysqld restart Shutting down MySQL... SUCCESS! Starting MySQL.. SUCCESS! [root&＃64;iZ28dr6w0qvZ ~]# mysql Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 1 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> select current_user(); &＃43;----------------&＃43; | current_user() | &＃43;----------------&＃43; | cqh&＃64;localhost | &＃43;----------------&＃43; 1 row in set (0.02 sec)

4、只授予账号必须的权限

只需要赋予普通用户必须的权限&＃xff0c;比如&＃xff1a;

grant select,insert,update,delete on tablename to &＃39;username&＃39;&＃64;&＃39;hostname&＃39;;

在很多情况下&＃xff0c;DBA 由于图方便&＃xff0c;而经常赋予用户all privileges 权限&＃xff0c;这个all privileges 到底具体包含哪些权限呢&＃xff1f;来看下面的例子&＃xff1a;

mysql> select * from db where user&＃61;&＃39;cqh&＃39;\G *************************** 1. row ***************************Host: localhostDb: testUser: cqhSelect_priv: YInsert_priv: YUpdate_priv: YDelete_priv: YCreate_priv: YDrop_priv: YGrant_priv: NReferences_priv: YIndex_priv: YAlter_priv: Y Create_tmp_table_priv: YLock_tables_priv: YCreate_view_priv: YShow_view_priv: YCreate_routine_priv: YAlter_routine_priv: YExecute_priv: YEvent_priv: YTrigger_priv: Y 1 row in set (0.00 sec)

all privileges 里面的权限&＃xff0c;远远超过了我们一般应用所需要的权限。而且&＃xff0c;有些权限如果误操作&＃xff0c;将会产生非常严重的后果&＃xff0c;比如drop_priv 等。因此&＃xff0c;用户权限的时候越具体&＃xff0c;则对数据库越安全。

5、除root 外&＃xff0c;任何用户不应有mysql 库user 表的存取权限

由于MySQL 中可以通过更改mysql 数据库的user 表进行权限的增加、删除、变更等操作&＃xff0c;因此&＃xff0c;除了root 以外&＃xff0c;任何用户都不应该拥有对user 表的存取权限&＃xff08;SELECT、UPDATE、INSERT、DELETE等&＃xff09;&＃xff0c;造成系统的安全隐患。下例对普通用户cqh 授予user 表的存取权限&＃xff0c;看看会对系统产生了怎么样的安全隐患。

&＃xff08;1&＃xff09;创建普通用户chenqionghe&＃xff0c;拥有对mysql数据库中的user表的各种权限

[root&＃64;iZ28dr6w0qvZ ~]# mysql -uroot -p Enter password: Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 103 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> grant select,update,insert,delete on mysql.user to chenqionghe&＃64;localhost; Query OK, 0 rows affected (0.00 sec)

&＃xff08;2&＃xff09;用chenqionghe 来更新root 权限

[root&＃64;iZ28dr6w0qvZ ~]# mysql -uchenqionghe Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 106 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> use mysql; Database changed mysql> mysql> update user set password&＃61;password(&＃39;abcd&＃39;) where user&＃61;&＃39;root&＃39; and host&＃61;&＃39;localhost&＃39;; Query OK, 1 row affected (0.00 sec) Rows matched: 1 Changed: 1 Warnings: 0

&＃xff08;3&＃xff09;当数据库重启或者root 刷新权限表后&＃xff0c;root 登录时密码已经被更改

[root&＃64;iZ28dr6w0qvZ ~]# mysql -uroot -pabcd Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 2 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement.

6、不要把FILE、PROCESS 或SUPER 权限授予管理员以外的账号

FILE权限主要以下作用&＃xff1a;

将数据库的信息通过SELECT ...INTO OUTFILE...写到服务器上有写权限的目录下&＃xff0c;作为文本格式存放。具有权限的目录也就是启动MySQL 时的用户权限目录。

可以将有读权限的文本文件通过LOAD DATA INFILE...命令写入数据表&＃xff0c;如果这些表中存放了很重要的信息&＃xff0c;将对系统造成很大的安全隐患。

在例中详细描述了FILE 权限可能造成的隐患

&＃xff08;1&＃xff09;连接数据库并创建测试表t

[root&＃64;iZ28dr6w0qvZ ~]# mysql -uroot -p Enter password: Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 8 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> use test; Database changed mysql> create table t (name varchar(500)); Query OK, 0 rows affected (0.02 sec)

&＃xff08;2&＃xff09;将/etc/password文件加载到表t中

mysql> load data infile &＃39;/etc/passwd&＃39; into table t; Query OK, 23 rows affected (0.01 sec) Records: 23 Deleted: 0 Skipped: 0 Warnings: 0

&＃xff08;3&＃xff09;查看t的内容

mysql> select * from t; &＃43;----------------------------------------------------------------------&＃43; | name | &＃43;----------------------------------------------------------------------&＃43; | root:x:0:0:root:/root:/bin/bash | | bin:x:1:1:bin:/bin:/sbin/nologin | | daemon:x:2:2:daemon:/sbin:/sbin/nologin | | adm:x:3:4:adm:/var/adm:/sbin/nologin | | lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin | | sync:x:5:0:sync:/sbin:/bin/sync | | shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown | | halt:x:7:0:halt:/sbin:/sbin/halt | | mail:x:8:12:mail:/var/spool/mail:/sbin/nologin | | uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin | | operator:x:11:0:operator:/root:/sbin/nologin | | games:x:12:100:games:/usr/games:/sbin/nologin | | gopher:x:13:30:gopher:/var/gopher:/sbin/nologin | | ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin | | nobody:x:99:99:Nobody:/:/sbin/nologin | | vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin | | ntp:x:38:38::/etc/ntp:/sbin/nologin | | saslauth:x:499:76:"Saslauthd user":/var/empty/saslauth:/sbin/nologin | | postfix:x:89:89::/var/spool/postfix:/sbin/nologin | | sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin | | nscd:x:28:28:NSCD Daemon:/:/sbin/nologin | | www:x:500:500::/alidata/www:/sbin/nologin | | mysql:x:501:501::/home/mysql:/sbin/nologin

这样&＃xff0c;重要的用户信息/etc/passwd内容将被写入表t中&＃xff0c;造成安全隐患。

PROCESS权限能被用来执行“show processlist”命令&＃xff0c;查看当前所有用户执行的查询的明文文本&＃xff0c;包括设定或改变密码的查询。在默认情况下&＃xff0c;每个用户都可以执行“show processlist”命令&＃xff0c;但是只能查询本用户的进程。因此&＃xff0c;对PROCESS权限管理不当&＃xff0c;有可能会使得普通用户能够看到管理员执行的命令。

下例中对普通用户赋予了PROCESS权限&＃xff0c;来看看会造成什么安全隐患。

&＃xff08;1&＃xff09;将PROCESS权限授予给普通用户

[root&＃64;iZ28dr6w0qvZ ~]# mysql -uroot -p Enter password: Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 26 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> show processlist; &＃43;----&＃43;------&＃43;-----------&＃43;------&＃43;---------&＃43;------&＃43;-------&＃43;------------------&＃43; | Id | User | Host | db | Command | Time | State | Info | &＃43;----&＃43;------&＃43;-----------&＃43;------&＃43;---------&＃43;------&＃43;-------&＃43;------------------&＃43; | 2 | root | localhost | NULL | Sleep | 53 | | NULL | | 26 | root | localhost | NULL | Query | 0 | NULL | show processlist | &＃43;----&＃43;------&＃43;-----------&＃43;------&＃43;---------&＃43;------&＃43;-------&＃43;------------------&＃43; 2 rows in set (0.00 sec) mysql> grant process on *.* to &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39;; Query OK, 0 rows affected (0.00 sec)

&＃xff08;2&＃xff09;锁定表user&＃xff0c;可以让进程阻塞&＃xff0c;以方便用户看到进程内容

mysql> lock table user read; Query OK, 0 rows affected (0.00 sec)

&＃xff08;3&＃xff09;打开另外一个session&＃xff0c;用root执行修改密码操作&＃xff0c;此时因为user表被锁定&＃xff0c;此进程被阻塞挂起

[root&＃64;iZ28dr6w0qvZ ~]# mysql -uroot -p Enter password: Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 27 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> set password&＃61;password(&＃39;123&＃39;);

&＃xff08;4&＃xff09;打开第3个session&＃xff0c;用cqh登录&＃xff0c;执行show processlist语句

可以发现&＃xff0c;cqh显示的进程中清楚地看到了root的修改密码操作&＃xff0c;并看到了明文的密码&＃xff0c;这将对系统造成严重的安全隐患。

SUPER权限能够执行kill命令&＃xff0c;终止其他用户进程。下面例子中&＃xff0c;普通用户拥有了SUPER 权限后&＃xff0c;便可以任意kill 任何用户的进程。

&＃xff08;1&＃xff09;cqh 登录后想kill 掉root 修改密码进程&＃xff08;进程号27)

&＃xff08;2&＃xff09;kill失败后&＃xff0c;root将super权限赋予cqh

mysql> grant super on *.* to cqh&＃64;localhost; Query OK, 0 rows affected (0.00 sec) mysql> show grants for cqh&＃64;localhost; &＃43;--------------------------------------------------&＃43; | Grants for cqh&＃64;localhost | &＃43;--------------------------------------------------&＃43; | GRANT PROCESS, SUPER ON *.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | &＃43;--------------------------------------------------&＃43; 1 row in set (0.00 sec)

&＃xff08;3&＃xff09;重新kill root的进程成功

从上面的例子中&＃xff0c;可以看到FILE、PROCESS、SUPER三个管理权限可能会带来的安全隐患&＃xff0c;因此除了管理员外&＃xff0c;不要把这些权限赋予给普通用户。

7、LOAD DATA LOCAL带来的安全问题

LOAD DATA 默认读的是服务器上的文件&＃xff0c;但是加上LOCAL 参数后&＃xff0c;就可以将本地具有访问权限的文件加载到数据库中。这在在带来方便的同时&＃xff0c;可带来了以下安全问题。

可以任意加载本地文件到数据库。

在Web环境中&＃xff0c;客户从Web服务器连接&＃xff0c;用户可以使用LOAD DATA LOCAL语句来读取Web服务器进程在读访问权限的任何文件&＃xff08;假定用户可以运行SQL服务器的任何命令&＃xff09;。在这种环境中&＃xff0c;MySQL服务器的客户实际上的是Web服务器&＃xff0c;而不是连接Web服务器的用户运行的程序。

解决的方法是&＃xff0c;可以用--local-infile&＃61;0 选项启动mysqld 从服务器禁用所有LOAD DATA LOCAL命令。

对于mysql 命令行客户端&＃xff0c;可以通过指定--local-infile[&＃61;1] 选项启用LOAD DATA LOCAL&＃xff0c;或通过--local-infile&＃61;0 选项禁用。类似地&＃xff0c;对于mysqlimport&＃xff0c;--local or -L 选项启用本地文件装载。在任何情况下&＃xff0c;成功进行本地装载需要服务器启用相关选项。

8、DROP TABLE命令并不收回以前的相关访问权限

DROP表的时候&＃xff0c;其他用户对此表的权限并没有被收回&＃xff0c;这样导致重新创建同名的表时&＃xff0c;以前其他用户对此表的权限会自动自动赋予&＃xff0c;进而产生权限外流。因此&＃xff0c;在删除表时&＃xff0c;要同时取消其他用户在此表上的相应权限。

下面的例子说明了不收回相关访问授权的隐患。

&＃xff08;1&＃xff09;用root 创建用户cqh&＃xff0c;授权test下所有表的select权限

mysql> grant select on test.* to cqh&＃64;localhost; Query OK, 0 rows affected (0.00 sec) mysql> show grants for cqh&＃64;localhost; &＃43;-----------------------------------------------&＃43; | Grants for cqh&＃64;localhost | &＃43;-----------------------------------------------&＃43; | GRANT USAGE ON *.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | | GRANT SELECT ON &＃96;test&＃96;.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | &＃43;-----------------------------------------------&＃43; 2 rows in set (0.00 sec)

&＃xff08;2&＃xff09;cqh登录&＃xff0c;测试权限

[root&＃64;iZ28dr6w0qvZ ~]# mysql -ucqh Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 287 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> use test; Database changed mysql> show tables; &＃43;----------------&＃43; | Tables_in_test | &＃43;----------------&＃43; | menu | | salary | | t | | t1 | | t12 | | t2 | &＃43;----------------&＃43; 6 rows in set (0.00 sec)

&＃xff08;3&＃xff09;root登录&＃xff0c;删除表t12

[root&＃64;iZ28dr6w0qvZ ~]# mysql -uroot -p Enter password: Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 288 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> use test; Database changed mysql> drop table t12; Query OK, 0 rows affected (0.00 sec)

&＃xff08;4&＃xff09;cqh登录&＃xff0c;再次测试权限

[root&＃64;iZ28dr6w0qvZ ~]# mysql -ucqh Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 290 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> use test; Database changed mysql> show tables; &＃43;----------------&＃43; | Tables_in_test | &＃43;----------------&＃43; | menu | | salary | | t | | t1 | | t2 | &＃43;----------------&＃43; 5 rows in set (0.00 sec)

&＃xff08;5&＃xff09;此时t12表已经看不到了

mysql> show grants for cqh&＃64;localhost; &＃43;-----------------------------------------------&＃43; | Grants for cqh&＃64;localhost | &＃43;-----------------------------------------------&＃43; | GRANT USAGE ON *.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | | GRANT SELECT ON &＃96;test&＃96;.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | &＃43;-----------------------------------------------&＃43; 2 rows in set (0.00 sec)

权限仍然显示对test下所有表的有SELECT权限&＃xff08;安全漏洞&＃xff09;

&＃xff08;6&＃xff09;root再次登录&＃xff0c;创建表t12

[root&＃64;iZ28dr6w0qvZ ~]# mysql -uroot -p Enter password: Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 292 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> use test; Database changed mysql> create table t12(id int); Query OK, 0 rows affected (0.03 sec)

&＃xff08;7&＃xff09;cqh登录&＃xff0c;对t1权限依旧存在

[root&＃64;iZ28dr6w0qvZ ~]# mysql -ucqh Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 293 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> use test; Database changed mysql> show tables; &＃43;----------------&＃43; | Tables_in_test | &＃43;----------------&＃43; | menu | | salary | | t | | t1 | | t12 | | t2 | &＃43;----------------&＃43; 6 rows in set (0.00 sec)

因此&＃xff0c;对表做删除后&＃xff0c;其他用户对此表的权限不会自动收回&＃xff0c;一定要记住手工收回。

9、使用SSL

SSL&＃xff08;Secure Socket Layer&＃xff0c;安全套接字层&＃xff09;是一种安全传输的协议&＃xff0c;最初Netscape 公司所开发&＃xff0c;用以保障在Internet 上数据传输之安全&＃xff0c;利用数据加密&＃xff08;Encryption&＃xff09;技术&＃xff0c;可确保数据在网络上传输过程中不会被截取及窃听。

SSL协议提供的服务主要有&＃xff1a;

&＃xff08;1&＃xff09;认证用户和服务器&＃xff0c;确保数据发送到正确的客户机和服务器

&＃xff08;2&＃xff09;加密数据以防止数据中途被窃取

&＃xff08;3&＃xff09;维护数据的完整性&＃xff0c;确保数据在传输过程中不被改变

在MySQL中&＃xff0c;要想使用SSL进行安全传输&＃xff0c;需要在命令行中或选项文件中设置“--ssl”选项。

对于服务器&＃xff0c;“ssl”选项规定该服务器允许SSL 连接。对于客户端端程序&＃xff0c;它允许客户使用SSL 连接。对于客户端程序&＃xff0c;它允许客户端用SSL 连接服务器。单单该选项不足以使用SSL 连接。还必须指定--ssl-ca、--ssl-cert和--ssl-key选项。如果不想启用SSL&＃xff0c;可以将选项指定为--skip-ssl 或--ssl&＃61;0 。

请注意&＃xff0c;如果编译的服务器或客户端不支持SSL&＃xff0c;则使用普通的示加密的连接。

确保使用SSL 连接的安全方式是&＃xff0c;使用含 REQUIRE SSL子句的GRANT语句在服务器上创建一账户&＃xff0c;然后使用该账户来连接服务器&＃xff0c;服务器和客户端均应启用SSL支持。下面例子创建了一个含REQUIRE SSL子句的账号&＃xff1a;

mysql> grant select on *.* to cqh identified by &＃39;123&＃39; REQUIRE ssl; Query OK, 0 rows affected (0.00 sec)

--ssl-ca&＃61;file_name 含可信的SSL CA的清单的文件的路径
--ssl-cert&＃61;file_name SSL证书文件名&＃xff0c;用于建立安全连接
--ssl-key&＃61;file_name SSL密钥文件名&＃xff0c;用于建立安全连接

10、如果可能&＃xff0c;给所有用户加上访问IP 限制

对数据库来说&＃xff0c;我们希望客户端过来的连接都是安全的&＃xff0c;因此&＃xff0c;就很有必要在创建用户的时候指定可以进行连接的服务器IP 或者HOSTNAME&＃xff0c;只有符合授权的IP 或者HOSTNAME 才可以进行数据库的访问。

11、REVOKE 命令的漏洞

当用户多次赋予权限后&＃xff0c;由于各种原因&＃xff0c;需要将此用户的权限全部取消&＃xff0c;此时&＃xff0c;REVOKE 命令可能并不会按照我们的意愿执行&＃xff0c;来看看下面的例子。

&＃xff08;1&＃xff09;连续赋予用户两次权限&＃xff0c;其中&＃xff0c;第2次是对所有数据库的所有权限

mysql> grant select,insert on test.* to cqh&＃64;localhost; Query OK, 0 rows affected (0.00 sec) mysql> grant all privileges on *.* to cqh&＃64;localhost; Query OK, 0 rows affected (0.00 sec) mysql> show grants for cqh&＃64;localhost; &＃43;-------------------------------------------------------&＃43; | Grants for cqh&＃64;localhost | &＃43;-------------------------------------------------------&＃43; | GRANT ALL PRIVILEGES ON *.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | | GRANT SELECT, INSERT ON &＃96;test&＃96;.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | &＃43;-------------------------------------------------------&＃43; 2 rows in set (0.00 sec)

&＃xff08;2&＃xff09;此时&＃xff0c;需要取消用户的所有权限

mysql> revoke all privileges on *.* from cqh&＃64;localhost; Query OK, 0 rows affected (0.00 sec)

&＃xff08;3&＃xff09;我们很可能以为&＃xff0c;此时用户已经没有任何权限了&＃xff0c;而不会再去查看他的权限表。而实际上&＃xff0c;此时的用户依然拥有test上的SELECT和INSERT权限

mysql> show grants for cqh&＃64;localhost; &＃43;-------------------------------------------------------&＃43; | Grants for cqh&＃64;localhost | &＃43;-------------------------------------------------------&＃43; | GRANT USAGE ON *.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | | GRANT SELECT, INSERT ON &＃96;test&＃96;.* TO &＃39;cqh&＃39;&＃64;&＃39;localhost&＃39; | &＃43;-------------------------------------------------------&＃43; 2 rows in set (0.00 sec)

&＃xff08;4&＃xff09;此时&＃xff0c;再次用cqh登录&＃xff0c;测试一下是否能对test数据库做操作

[root&＃64;iZ28dr6w0qvZ ~]# mysql -ucqh Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 395 Server version: 5.5.37-log MySQL Community Server (GPL) Copyright (c) 2000, 2014, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type &＃39;help;&＃39; or &＃39;\h&＃39; for help. Type &＃39;\c&＃39; to clear the current input statement. mysql> use test; Database changed mysql> show tables; &＃43;----------------&＃43; | Tables_in_test | &＃43;----------------&＃43; | menu | | salary | | t | | t1 | | t12 | | t2 | &＃43;----------------&＃43; 6 rows in set (0.00 sec) mysql> insert into t1 values (1); Query OK, 1 row affected (0.01 sec)

这个是MySQL 权限机制造成的隐患&＃xff0c;在一个数据库上多次赋予权限&＃xff0c;权限会自动合并&＃xff1b;但是在多个数据库上多次赋予权限&＃xff0c;每个数据库上都会认为是单独的一组权限&＃xff0c;必须在此数据库上用REVOKE 命令来单进行权限收回&＃xff0c;而 REVOKE ALL PRIVILEGES ON *.* 并不会替用户自动完成这个情况。

来源&＃xff1a;雪上飞猪

www.cnblogs.com/chenqionghe/p/4873665.html

MySQL安全问题

操作系统相关的安全问题

1、严格控制操作系统账号和权限

2、尽量避免以root 权限运行MySQL

3、防止DNS欺骗

数据库相关的安全问题

1、删除匿名账号

2、给root账号设置口令

3、设置安全密码

4、只授予账号必须的权限

5、除root 外&＃xff0c;任何用户不应有mysql 库user 表的存取权限

6、不要把FILE、PROCESS 或SUPER 权限授予管理员以外的账号

7、LOAD DATA LOCAL带来的安全问题

8、DROP TABLE命令并不收回以前的相关访问权限

9、使用SSL

10、如果可能&＃xff0c;给所有用户加上访问IP 限制

11、REVOKE 命令的漏洞

图解redis的持久化存储机制RDB和AOF的原理和优缺点

Web学习历程记录（七）——Tomcat基本概念和配置

ABAP开发发送邮件程序的配置和代码整理

如何限制php数据库链接数和连接超时时间？

Centos7.6安装Gitlab教程及注意事项

计算机网络初识及通信流程分析

如何在服务器主机上实现文件共享的方法和工具

java命令运行

Windows操作系统的版本介绍及特点

Nginx使用AWStats日志分析的步骤及注意事项

Hyperledger Fabric外部链码构建与运行的开发笔记

页面请求方法参数最长_关于 HTTP GET/POST 请求参数长度最大值的一个理解误区

Thrift教程初级篇——RPC框架Thrift的安装环境变量配置与第一个实例

在mac环境下使用nginx配置nodejs代理服务器的步骤

Android系统源码分析Zygote和SystemServer启动过程详解