MySQL 是完全网络化
跨平台关系型数据库系统
同时是具有客户机/服务器体系结构分布式数据库管理系统
它具有功能强、使用简便、管理方便、运行速度快、安全可靠性强等优点用户可利用许多语言编写访问MySQL 数据库
特别是和PHP更是黄金组合运用十分广泛由于MySQL是多平台
数据库它默认配置要考虑各种情况下都能适用所以在我们自己使用环境下应该进行进
步安全加固作为个MySQL系统管理员我们有责任维护MySQL数据库系统数据安全性和完整性MySQL数据库
安全配置必须从两个方面入手系统内部安全和外部网络安全另外我们还将简单介绍编程时要注意些问题以及些小窍门2、系统内部安全
首先简单介绍
下MySQL数据库目录结构MySQL安装好运行了mysql_db_
脚本以后就会建立数据目录和
化数据库如果我们用MySQL源码包安装而且安装目录是/usr/local/mysql那么数据目录般会是/usr/local/mysql/var数据库系统由系列数据库组成每个数据库包含系列数据库表MySQL是用数据库名在数据目录建立建立个数据库目录各数据库表分别以数据库表名作为文件名扩展名分别为MYD、MYI、frm 3个文件放到数据库目录中MySQL
授权表给数据库访问提供了灵活权限控制但是如果本地用户拥有对库文件读权限话攻击者只需把数据库目录打包拷走然后拷到自己本机数据目录下就能访问窃取数据库所以MySQL所在主机安全性是最首要问题如果主机不安全被攻击者控制那么MySQL安全性也无从谈起其次就是数据目录和数据文件安全性也就是权限设置问题从MySQL主站
些老binary发行版来看3.21.xx版本中数据目录属性是775这样非常危险任何本地用户都可以读数据目录所以数据库文件很不安全3.22.xx版本中数据目录属性是770这种属性也有些危险本地同组用户既能读也能写所以数据文件也不安全3.23.xx版本数据目录属性是700这样就比较好只有启动数据库用户可以读写数据库文件保证了本地数据文件安全如果启动MySQL数据库
用户是mysql那么象如下目录和文件是安全请注意数据目录及下面属性:shell>ls -l /usr/local/mysql
total 40
drwxrwxr-x 2 root root 4096 Feb 27 20:07 bin
drwxrwxr-x 3 root root 4096 Feb 27 20:07
drwxrwxr-x 2 root root 4096 Feb 27 20:07 info
drwxrwxr-x 3 root root 4096 Feb 27 20:07 lib
drwxrwxr-x 2 root root 4096 Feb 27 20:07 libexec
drwxrwxr-x 3 root root 4096 Feb 27 20:07 man
drwxrwxr-x 6 root root 4096 Feb 27 20:07 mysql-test
drwxrwxr-x 3 root root 4096 Feb 27 20:07 share
drwxrwxr-x 7 root root 4096 Feb 27 20:07 sql-bench
drwx------ 4 mysql mysql 4096 Feb 27 20:07 var
shell>ls -l /usr/local/mysql/var
total 8
drwx------ 2 mysql mysql 4096 Feb 27 20:08 mysql
drwx------ 2 mysql mysql 4096 Feb 27 20:08 test
shell>ls -l /usr/local/mysql/var/mysql
total 104
-rw------- 1 mysql mysql 0 Feb 27 20:08 columns_priv.MYD
-rw------- 1 mysql mysql 1024 Feb 27 20:08 columns_priv.MYI
-rw------- 1 mysql mysql 8778 Feb 27 20:08 columns_priv.frm
-rw------- 1 mysql mysql 302 Feb 27 20:08 db.MYD
-rw------- 1 mysql mysql 3072 Feb 27 20:08 db.MYI
-rw------- 1 mysql mysql 8982 Feb 27 20:08 db.frm
-rw------- 1 mysql mysql 0 Feb 27 20:08 func.MYD
-rw------- 1 mysql mysql 1024 Feb 27 20:08 func.MYI
-rw------- 1 mysql mysql 8641 Feb 27 20:08 func.frm
-rw------- 1 mysql mysql 0 Feb 27 20:08 host.MYD
-rw------- 1 mysql mysql 1024 Feb 27 20:08 host.MYI
-rw------- 1 mysql mysql 8958 Feb 27 20:08 host.frm
-rw------- 1 mysql mysql 0 Feb 27 20:08 tables_priv.MYD
-rw------- 1 mysql mysql 1024 Feb 27 20:08 tables_priv.MYI
-rw------- 1 mysql mysql 8877 Feb 27 20:08 tables_priv.frm
-rw------- 1 mysql mysql 428 Feb 27 20:08 user.MYD
-rw------- 1 mysql mysql 2048 Feb 27 20:08 user.MYI
-rw------- 1 mysql mysql 9148 Feb 27 20:08 user.frm
如果这些文件
属主及属性不是这样请用以下两个命令修正的:shell>chown -R mysql.mysql /usr/local/mysql/var
shell>chmod -R go-rwx /usr/local/mysql/var
用root用户启动远程服务
直是安全大忌
如果服务出现问题远程攻击者极有可能获得主机完全控制权MySQL从3.23.15版本开始时作了小小改动默认安装后服务要用mysql用户来启动不允许root用户启动如果非要用root用户来启动必须加上-user=root参数(./safe_mysqld -user=root &)MySQL中有LOAD DATA INFILE和SELECT ... INTO OUTFILESQL语句如果是root用户启动了MySQL服务器那么数据库用户就拥有了root用户写权限不过MySQL还是做了些限制比如LOAD DATA INFILE只能读全局可读文件SELECT ... INTO OUTFILE不能覆盖已经存在文件本地
日志文件也不能忽视包括shell日志和MySQL自己日志有些用户在本地登陆或备份数据库时候为了图方便有时会在命令行参数里直接带了数据库密码如:shell>/usr/local/mysql/bin/mysqldump -uroot -ptest test>test.sql
shell>/usr/local/mysql/bin/mysql -uroot -ptest
这些命令会被shell记录在历史文件里
比如bash会写入用户目录.bash_history文件如果这些文件不慎被读那么数据库密码就会泄漏用户登陆数据库后执行SQL命令也会被MySQL记录在用户目录.mysql_history文件里如果数据库用户用SQL语句修改了数据库密码也会因.mysql_history文件而泄漏所以我们在shell登陆及备份时候不要在-p后直接加密码而是在提示后再输入数据库密码另外这两个文件我们也应该不让它记录我们
操作以防万shell>rm .bash_history .mysql_history
shell>ln -s /dev/null .bash_history
shell>ln -s /dev/null .mysql_history
上门这两条命令把这两个文件链接到/dev/null
那么我们操作就不会被记录到这两个文件里了外部网络安全
MySQL数据库安装好以后
Unix平台user表是这样:mysql> use mysql;
Database changed
mysql> select Host,User,Password,Select_priv,Grant_priv from user;
+-----------+------+----------+-------------+------------+
| Host | User | Password | Select_priv | Grant_priv |
+-----------+------+----------+-------------+------------+
| localhost | root | | Y | Y |
| redhat | root | | Y | Y |
| localhost | | | N | N |
| redhat | | | N | N |
+-----------+------+----------+-------------+------------+
4 rows in
(0.00 sec)Windows平台
user表是这样:mysql> use mysql;
Database changed
mysql> select Host,User,Password,Select_priv,Grant_priv from user;
+-----------+------+----------+-------------+------------+
| Host | User | Password | Select_priv | Grant_priv |
+-----------+------+----------+-------------+------------+
| localhost | root | | Y | Y |
| % | root | | Y | Y |
| localhost | | | Y | Y |
| % | | | N | N |
+-----------+------+----------+-------------+------------+
4 rows in
(0.00 sec)我们先来看Unix平台
user表其中redhat只是我试验机机器名所以实际上Unix平台MySQL默认只允许本机才能连接数据库但是缺省root用户口令是空所以当务的急是给root用户加上口令给数据库用户加口令有 3种思路方法:1)在shell提示符下用mysqladmin命令来改root用户口令
shell>mysqladmin -uroot password test
这样
MySQL数据库root用户口令就被改成test了(test只是举例我们实际使用口令定不能使用这种易猜弱口令)2)用
password修改口令:mysql>
password for root@localhost=password('test');这时root用户
口令就被改成test了3)直接修改user表
root用户口令mysql> use mysql;
mysql> update user
password=password('test') where user='root';mysql> flush privileges;
这样
MySQL数据库root用户口令也被改成test了其中最后句命令flush privileges意思是强制刷新内存授权表否则用还是缓冲中口令这时非法用户还可以用root用户及空口令登陆直到重启MySQL服务器我们还看到user为空
匿名用户虽然它在Unix平台下没什么权限但为了安全起见我们应该删除它:mysql> delete from user where user='';
Windows版本MySQL
user表有很大区别我们看到Host字段除了localhost还有是%这里%意思是允许任意主机连接MySQL服务器这是非常不安全给攻击者造成可乘的机我们必须删除Host字段为%记录:mysql>delete from user where host='%';
默认root用户
空密码也是必须修改 3种修改思路方法和Unix平台样我们注意到Host字段为localhost
匿名用户拥有所有权限！就是说本地用户用空用户名和空口令登陆MySQL数据库服务器可以得到最高权限！所以匿名用户必须删除！mysql> delete from user where user='';
对user表操作以后不要忘了用flush privileges来强制刷新内存授权表
这样才能生效默认安装
Windows版MySQL存在不安全原因太多我们在安装后定要进步配置！MySQL
5个授权表:user, db, host, tables_priv和columns_priv提供非常灵活安全机制从MySQL 3.22.11开始引入了两条语句GRANT和REVOKE来创建和删除用户权限可以方便限制哪个用户可以连接服务器从哪里连接以及连接后可以做什么操作作为MySQL管理员我们必须了解授权表意义以及如何用GRANT和REVOKE来创建用户、授权和撤权、删除用户在3.22.11版本以前
MySQL授权机制不完善和新版本也有较大区别建议升级到最新版本MySQL(本书操作例子是以MySQL 3.23.49为样本)我们先来了解授权表
结构1)MySQL授权表
结构和内容:mysql> desc user;
+-----------------+-----------------+------+-----+---------+-------+
| Field | Type | Null | Key | Default | Extra |
+-----------------+-----------------+------+-----+---------+-------+
| Host | char(60) binary | | PRI | | |
| User | char(16) binary | | PRI | | |
| Password | char(16) binary | | | | |
| Select_priv | enum('N','Y') | | | N | |
| Insert_priv | enum('N','Y') | | | N | |
| Update_priv | enum('N','Y') | | | N | |
| Delete_priv | enum('N','Y') | | | N | |
| Create_priv | enum('N','Y') | | | N | |
| Drop_priv | enum('N','Y') | | | N | |
| Reload_priv | enum('N','Y') | | | N | |
| Shutdown_priv | enum('N','Y') | | | N | |
| Process_priv | enum('N','Y') | | | N | |
| File_priv | enum('N','Y') | | | N | |
| Grant_priv | enum('N','Y') | | | N | |
| References_priv | enum('N','Y') | | | N | |
| Index_priv | enum('N','Y') | | | N | |
| Alter_priv | enum('N','Y') | | | N | |
+-----------------+-----------------+------+-----+---------+-------+
17 rows in
(0.01 sec)user表是5个授权表中最重要
个列出可以连接服务器用户及其加密口令并且它指定他们有哪种全局(超级用户)权限在user表启用任何权限均是全局权限并适用于所有数据库所以我们不能给任何用户访问mysql.user表权限！权限介绍说明:
+-----------+-------------+-----------------------------------------------------------------------+
| 权限指定符| 列名 |权限操作 |
+-----------+-------------+-----------------------------------------------------------------------+
| Select | Select_priv | 允许对表
访问不对数据表进行访问select语句不受影响比如select 1+1|+-----------+-------------+-----------------------------------------------------------------------+
| Insert | Insert_priv | 允许对表用insert语句进行写入操作
|+-----------+-------------+-----------------------------------------------------------------------+
| Update | Update_priv | 允许用update语句修改表中现有记录
|+-----------+-------------+-----------------------------------------------------------------------+
| Delete | Delete_priv | 允许用delete语句删除表中现有记录
|+-----------+-------------+-----------------------------------------------------------------------+
| Create | Create_priv | 允许建立新
数据库和表 |+-----------+-------------+-----------------------------------------------------------------------+
| Drop | Drop_priv | 允许删除现有
数据库和表 |+-----------+-------------+-----------------------------------------------------------------------+
| Index | Index_priv | 允许创建、修改或删除索引
|+-----------+-------------+-----------------------------------------------------------------------+
| Alter | Alter_priv | 允许用alter语句修改表结构
|+-----------+-------------+-----------------------------------------------------------------------+
| Grant | Grant_priv | 允许将自己拥有
权限授予其它用户包括grant |+-----------+-------------+-----------------------------------------------------------------------+
| Reload | Reload | 允许重载授权表
刷新服务器等命令 |+-----------+-------------+-----------------------------------------------------------------------+
| Shutdown | Shudown_priv| 允许用mysqladmin shutdown命令关闭MySQL服务器
该权限比较危险 || | | 不应该随便授予
|+-----------+-------------+-----------------------------------------------------------------------+
| Process | Process_priv| 允许查看和终止MySQL服务器正在运行
线程(进程)以及正在执行查询语句 || | |
包括执行修改密码查询语句该权限比较危险不应该随便授予 |+-----------+-------------+-----------------------------------------------------------------------+
| File | File_priv | 允许从服务器上读全局可读文件和写文件
该权限比较危险不应该随便授予|+-----------+-------------+-----------------------------------------------------------------------+
mysql> desc db;
+-----------------+-----------------+------+-----+---------+-------+
| Field | Type | Null | Key | Default | Extra |
+-----------------+-----------------+------+-----+---------+-------+
| Host | char(60) binary | | PRI | | |
| Db | char(64) binary | | PRI | | |
| User | char(16) binary | | PRI | | |
| Select_priv | enum('N','Y') | | | N | |
| Insert_priv | enum('N','Y') | | | N | |
| Update_priv | enum('N','Y') | | | N | |
| Delete_priv | enum('N','Y') | | | N | |
| Create_priv | enum('N','Y') | | | N | |
| Drop_priv | enum('N','Y') | | | N | |
| Grant_priv | enum('N','Y') | | | N | |
| References_priv | enum('N','Y') | | | N | |
| Index_priv | enum('N','Y') | | | N | |
| Alter_priv | enum('N','Y') | | | N | |
+-----------------+-----------------+------+-----+---------+-------+
13 rows in
(0.01 sec)db表列出数据库
而用户有权限访问它们在这里指定权限适用于个数据库中所有表mysql> desc host;
+-----------------+-----------------+------+-----+---------+-------+
| Field | Type | Null | Key | Default | Extra |
+-----------------+-----------------+------+-----+---------+-------+
| Host | char(60) binary | | PRI | | |
| Db | char(64) binary | | PRI | | |
| Select_priv | enum('N','Y') | | | N | |
| Insert_priv | enum('N','Y') | | | N | |
| Update_priv | enum('N','Y') | | | N | |
| Delete_priv | enum('N','Y') | | | N | |
| Create_priv | enum('N','Y') | | | N | |
| Drop_priv | enum('N','Y') | | | N | |
| Grant_priv | enum('N','Y') | | | N | |
| References_priv | enum('N','Y') | | | N | |
| Index_priv | enum('N','Y') | | | N | |
| Alter_priv | enum('N','Y') | | | N | |
+-----------------+-----------------+------+-----+---------+-------+
12 rows in
(0.01 sec)host表和db表结合使用在
个较好层次上控制特定主机对数据库访问权限这可能比单独使用db好些这个表不受GRANT和REVOKE语句影响所以你可能发觉你根本不是用它mysql> desc tables_priv;
+-------------+-----------------------------+------+-----+---------+-------+
| Field | Type | Null | Key | Default | Extra |
+-------------+-----------------------------+------+-----+---------+-------+
| Host | char(60) binary | | PRI | | |
| Db | char(64) binary | | PRI | | |
| User | char(16) binary | | PRI | | |
| Table_name | char(60) binary | | PRI | | |
| Grantor | char(77) | | MUL | | |
| Timestamp | timestamp(14) | YES | | NULL | |
| Table_priv |
('Select','Insert', | | | | || | 'Update','Delete','Create', | | | | |
| | 'Drop','Grant','References',| | | | |
| | 'Index','Alter') | | | | |
| Column_priv |
('Select','Insert', | | | | || | 'Update','References') | | | | |
+-------------+-----------------------------+------+-----+---------+-------+
8 rows in
(0.01 sec)tables_priv表指定表级权限
在这里指定个权限适用于个表所有列mysql> desc columns_priv;
+-------------+------------------------+------+-----+---------+-------+
| Field | Type | Null | Key | Default | Extra |
+-------------+------------------------+------+-----+---------+-------+
| Host | char(60) binary | | PRI | | |
| Db | char(64) binary | | PRI | | |
| User | char(16) binary | | PRI | | |
| Table_name | char(64) binary | | PRI | | |
| Column_name | char(64) binary | | PRI | | |
| Timestamp | timestamp(14) | YES | | NULL | |
| Column_priv |
('Select','Insert', | | | | || | 'Update','References') | | | | |
+-------------+------------------------+------+-----+---------+-------+
7 rows in
(0.00 sec)columns_priv表指定列级权限
在这里指定权限适用于个表特定列2)MySQL授权表运行机制
MySQL
访问控制分两个步骤:a)服务器检查是否允许该用户连接
b)如果该用户有权连接
那么服务器还会检查它每个请求是否有足够权限比如:用户检索数据库中个表需要有这个数据库select权限用户删除数据库中个表需要有这个数据库drop权限授权表
user, db, host表使用这两个步骤tables_priv和columns_priv表只使用第 2步(检查请求)每个授权表包含决定个权限何时运用范围列和决定授予哪种权限权限列范围列指定表中
权限何时运用每个授权表条目包含User和Host列来指定权限何时运用于个给定用户从给定主机连接其他表包含附加范围列如db表包含个Db列指出权限运用于哪个数据库类似地tables_priv和columns_priv表包含范围字段缩小范围到个数据库中特定表或个表特定列下面是user表
Host字段和User字段组合些例子:+-----------------------------+--------+--------------------------------------------------------+
| Host值 | User值 | 匹配
连接 |+-----------------------------+--------+--------------------------------------------------------+
| 'x.y.z' | 'test' | test用户只能从x.y.z连接数据库 |
+-----------------------------+--------+--------------------------------------------------------+
| 'x.y.z' | '' | 任何用户可以从x.y.z连接数据库 |
+-----------------------------+--------+--------------------------------------------------------+
| '%' | 'test' | test用户可以从任意主机连接数据库 |
+-----------------------------+--------+--------------------------------------------------------+
| '' | '' | 任何用户可以从任意主机连接数据库 |
+-----------------------------+--------+--------------------------------------------------------+
| '%.y.z' | 'test' | test用户可以从y.z域
任意主机连接数据库 |+-----------------------------+--------+--------------------------------------------------------+
| 'x.y.% ' | 'test' | test用户可以从x.y.net, x.y.com, x.y.edu等主机连接数据库|
+-----------------------------+--------+--------------------------------------------------------+
| '192.168.1.1' | 'test' | test用户可以从IP地址为192.168.1.1
主机连接数据库 |+-----------------------------+--------+--------------------------------------------------------+
| '192.168.1.% ' | 'test' | test用户可以从C类子网192.168.1中
任意主机连接数据库 |+-----------------------------+--------+--------------------------------------------------------+
| '192.168.1.0/255.255.255.0' | 'test' | 同上 |
+-----------------------------+--------+--------------------------------------------------------+
SQL
串通配符%表示匹配任意可以是0个通配符_表示匹配个权限列指出在范围列中指定
用户拥有何种权限该表使用GRANT语句权限名称对于绝大多数在user、db和host表中权限列名称和GRANT语句中有明显联系如Select_priv对应于SELECT权限3)授权表使用举例
grant用于给增加用户和创建权限
revoke用于删除用户权限下面是
些用grant增加用户和创建权限例子:mysql> grant all privileges _disibledevent=>mysql> flush privileges;
这样
test1用户就彻底删除了这些只是MySQL授权表
简单使用更多详细资料请见MySQL提供手册3、编程需要注意
些问题不管是用哪种
语言写连接MySQL数据库有条准则是永远不要相信用户提交数据！对于数字字段
我们要使用查询语句:SELECT * FROM table WHERE ID='234'不要使用SELECT * FROM table WHERE ID=234这样查询语句MySQL会自动把字串转换为数字并且去除非数字如果用户提交数据经过了mysql_escape_
处理这样我们就可以完全杜绝了sql inject攻击有关sql inject攻击请参考下面链接文章:http://www.spidynamics.com/papers/SQLInjectionWhitePaper.pdf
http://www.ngssoftware.com/papers/advanced_sql_injection.pdf
各种编程语言该注意
问题:1)所有Web
:a)尝试在Web表单输入单引号和双引号来测试可能出现
并找出原因所在b)修改URL参数带
%22 ('"'), %23 ('#'), 和 %27 (''')c)对于数字字段
变量我们应用必须进行严格检查否则是非常危险d)检查用户提交
数据是否超过字段长度e)不要给自己
连接数据库用户过多访问权限2)PHP:
a)检查用户提交
数据在查询的前是否经过addslashes处理在PHP 4.0.3以后提供了基于MySQL C API
mysql_escape_
3)MySQL C API:
a)检查查询字串是否用了mysql_escape_
API
4)MySQL
:a)检查查询字串是否用了escape和quote处理
5)Perl DBI:
a)检查查询字串是否用了quote
思路方法6)Java JDBC:
a)检查查询字串是否用了PreparedStatement对象
4、
些小窍门1)如果不慎忘记了MySQL
root密码我们可以在启动MySQL服务器时加上参数--skip-grant-tables来跳过授权表验证 (./safe_mysqld --skip-grant-tables &)这样我们就可以直接登陆MySQL服务器然后再修改root用户口令重启MySQL就可以用新口令登陆了2)启动MySQL服务器时加--skip-show-database使
般数据库用户不能浏览其它数据库3)启动MySQL服务器时加上--chroot=path参数
让mysqld守护进程运行在chroot环境中这样SQL语句LOAD DATA INFILE和SELECT ... INTO OUTFILE就限定在chroot_path下读写文件了这里有点要注意MySQL启动后会建立个mysql.sock文件默认是在/tmp目录下使用了chroot后MySQL会在chroot_path/tmp去建立mysql.sock文件如果没有chroot_path/tmp目录或启动MySQL用户没有这个目录写权限就不能建立mysql.sock文件MySQL会启动失败比如我们加了--chroot=/usr/local/mysql/启动参数那么最好建立个启动MySQL用户能写/usr/local/mysql/tmp目录当然我们也可以用--
=path来指定mysql.sock文件路径但这个path定要在chroot_path里面4)启动MySQL服务器时加上--log-slow-queries=file参数
这样mysqld会把SQL命令执行时间超过long_query_time写入file文件如果没有指定=filemysqld默认会写到数据目录下hostname-slow.log如果只指定了filename没有指定路径那么mysqld也会把filename写到数据目录下我们通过这个日志文件可以找出执行时间超长查询语句然后尽可能优化它减轻MySQL服务器负担5)如果我们只需本机使用MySQL服务
那么我们还可以加上--skip-networking启动参数使MySQL不监听任何TCP/IP连接增加安全性(非常推荐)6)MySQL
更多mysqld启动选项请见MySQL手册4.16.4 mysqld Command-line OptionsReferences
MySQL Manual(http://www.mysql.com/documentation/index.html)
晏子
MySQL管理员指南(http://clyan.hongnet.com/index.html)Access Granted(http://www.devshed.com/Server_Side/MySQL/Access)
最新评论