【安全测试】MySQL安全加固要点
1.修改root⽤户⼝令，删除空⼝令
2.删除默认数据库和数据库⽤户
3.改变默认mysql管理员帐号
4.关于密码的管理
5.使⽤独⽴⽤户运⾏msyql
6.禁⽌远程连接数据库
7.限制连接⽤户的数量
8.⽤户⽬录权限限制
9.命令历史记录保护
10.禁⽌MySQL对本地⽂件存取
11.MySQL服务器权限控制
12.使⽤chroot⽅式来控制MySQL的运⾏⽬录
13.关闭对⽆关的Web程序访问的⽀持
14.数据库备份策略
15. Mysqld安全相关启动选项
16.information_schema 安全
1.修改root⽤户⼝令，删除空⼝令
缺省安装的MySQL的root⽤户是空密码的，为了安全起见，必须修改为强密码，所谓的强密码，⾄少8位，由字母、数字和符号组成的不规律密码。使⽤MySQL⾃带的命令mysaladmin修改root密码，同时也可以登陆数据库，修改数据库mysql下的user表的字段内容，修改⽅法如下所⽰：
# /usr/local/mysql/bin/mysqladmin -u root password “upassword” //使⽤mysqladmin
#mysql> use mysql;
#mysql> update user set password=password(‘upassword’) where user=’root’;
#mysql> flush privileges; //强制刷新内存授权表，否则⽤的还是在内存缓冲的⼝令
2.删除默认数据库和数据库⽤户
⼀般情况下，MySQL数据库安装在本地，并且也只需要本地的php脚本对mysql进⾏读取，所以很多⽤户不需要，尤其是默认安装的⽤户。MySQL初始化后会⾃动⽣成空⽤户和test库，进⾏安装的测试，这会对数据库的安全构成威胁，有必要全部删除，最后的状态只保留单个root即可，当然以后根据需要增加⽤户和数据库。
#mysql> show databases;
#mysql> drop database test; //删除数据库test
#use mysql;
#delete from db; //删除存放数据库的表信息，因为还没有数据库信息。
#mysql> delete from user where not (user=’root’) ; // 删除初始⾮root的⽤户
#mysql> delete from user where user=’root’ and password=”; //删除空密码的root，尽量重复操作
Query OK, 2 rows affected (0.00 sec)
#mysql> flush privileges; //强制刷新内存授权表。
3.改变默认mysql管理员帐号
4.关于密码的管理
密码是数据库安全管理的⼀个很重要因素，不要将纯⽂本密码保存到数据库中。如果你的计算机有安全危险，⼊侵者可以获得所有的密码并使⽤它们。相反，应使⽤MD5()、SHA1()或单向哈希函数。也不要从词典中选择密码，有专门的程序可以破解它们，请选⽤⾄少⼋位，由字母、数字和符号组成的强密码。在存取密码时，使⽤mysql的内置函数password（）的sql语句，对密码进⾏加密后存储。例如以下⽅式在users表中加⼊新⽤户。
#mysql> insert into users values (1,password(1234),’test’);
5.使⽤独⽴⽤户运⾏msyql
绝对不要作为使⽤root⽤户运⾏MySQL服务器。这样做⾮常危险，因为任何具有FILE权限的⽤户能够⽤root创建⽂件(例如，~root/.bashrc)。mysqld拒绝使⽤root运⾏，除⾮使⽤–user=root选项明显指定。应该⽤普通⾮特权⽤户运⾏mysqld。正如前⾯的安装过程⼀样，为数据库建⽴独⽴的linux中的mysql账户，该账户⽤来只⽤于管理和运⾏MySQL。
要想⽤其它Unix⽤户启动mysqld，，增加user选项指定/etc/myf选项⽂件或服务器数据⽬录的myf选项⽂件中的[mysqld]组的⽤户名。
#vi /etc/myf
[mysqld]
user=mysql
该命令使服务器⽤指定的⽤户来启动，⽆论你⼿动启动或通过mysqld_safe或mysql.server启动，都能确保使⽤mysql的⾝份。也可以在启动数据库是，加上user参数。
# /usr/local/mysql/bin/mysqld_safe –user=mysql &
作为其它linux⽤户⽽不⽤root运⾏mysqld，你不需要更改user表中的root⽤户名，因为MySQL账户的
⽤户名与linux账户的⽤户名⽆关。确保mysqld运⾏时，只使⽤对数据库⽬录具有读或写权限的linux⽤户来运⾏。
6.禁⽌远程连接数据库
在命令⾏netstat -ant下看到，默认的3306端⼝是打开的，此时打开了mysqld的⽹络监听，允许⽤户远程通过帐号密码连接数本地据库，默认情况是允许远程连接数据的。为了禁⽌该功能，启动skip-networking，不监听sql的任何TCP/IP的连接，切断远程访问的权利，保证安全性。假如需要远程管理数据库，可通过安装PhpMyadmin来实现。假如确实需要远程连接数据库，⾄少修改默认的监听端⼝，同时添加防⽕墙规则，只允许可信任的⽹络的mysql监听端⼝的数据通过。# vi /etc/my.cf
将#skip-networking注释去掉。
# /usr/local/mysql/bin/mysqladmin -u root -p shutdown //停⽌数据库
#/usr/local/mysql/bin/mysqld_safe –user=mysql & //后台⽤mysql⽤户启动mysql
7.限制连接⽤户的数量
数据库的某⽤户多次远程连接，会导致性能的下降和影响其他⽤户的操作，有必要对其进⾏限制。可
以通过限制单个账户允许的连接数量来实现，设置myf⽂件的mysqld中的max_user_connections变量来完成。GRANT语句也可以⽀持资源控制选项来限制服务器对⼀个账户允许的使⽤范围。
#vi /etc/myf
[mysqld]
max_user_connections= 2
8.⽤户⽬录权限限制
默认的mysql是安装在/usr/local/mysql，⽽对应的数据库⽂件在/usr/local/mysql/var⽬录下，因此，必须保证该⽬录不能让未经授权的⽤户访问后把数据库打包拷贝⾛了，所以要限制对该⽬录的访问。确保mysqld运⾏时，只使⽤对数据库⽬录具有读或写权限的linux⽤户来运⾏。
# chown -R root /usr/local/mysql/ //mysql主⽬录给root
# chown -sql /usr/local/mysql/var //确保数据库⽬录权限所属mysql⽤户
9.命令历史记录保护
数据库相关的shell操作命令都会分别记录在.bash_history，如果这些⽂件不慎被读取，会导致数据库密码和数据库结构等信息泄露，⽽登陆数据库后的操作将记录在.mysql_history⽂件中，如果使⽤update表信息来修改数据库⽤户密码的话，也会被读取密码，因此需要删除这两个⽂件，同时在进⾏登陆或备份数据库等与密码相关操作时，应该使⽤-p参数加⼊提⽰输⼊密码后，隐式输⼊密码，建议将以上⽂件置空。
# rm .bash_history .mysql_history //删除历史记录
# ln -s /dev/null .bash_history //将shell记录⽂件置空
# ln -s /dev/null .mysql_history //将mysql记录⽂件置空
10.禁⽌对本地⽂件存取
在mysql中，提供对本地⽂件的读取，使⽤的是load data local infile命令，默认在5.0版本中，该选项是默认打开的，该操作令会利⽤把本地⽂件读到数据库中，然后⽤户就可以⾮法获取敏感信息了，假如你不需要读取本地⽂件，请务必关闭。应该禁⽌MySQL中⽤“LOAD DATA LOCAL INFILE”命令。⽹络上流传的⼀些攻击⽅法中就有⽤它LOAD DATA LOCAL INFILE的，同时它也是很多新发现的SQL Injection攻击利⽤的⼿段！⿊客还能通过使⽤LOAD DATALOCAL INFILE 装载“/etc/passwd”进⼀个数
据库表，然后能⽤SELECT显⽰它，这个操作对服务器的安全来说，是致命的。可以在myf中添加local-infile=0，或者加参数local-infile=0启动mysql。
#/usr/local/mysql/bin/mysqld_safe –user=mysql –local-infile=0 &
#mysql> load data local infile ’’ into table users fields terminated by ‘,’;
#ERROR 1148 (42000): The used command is not allowed with this MySQL version
php远程连接mysql数据库–local-infile=0选项启动mysqld从服务器端禁⽤所有LOAD DATA LOCAL命令，假如需要获取本地⽂件，需要打开，但是建议关闭。
11.MySQL服务器权限控制
MySQL权限系统的主要功能是证实连接到⼀台给定主机的⽤户，并且赋予该⽤户在数据库上的SELECT、INSERT、UPDATE和DELETE等权限（详见user超级⽤户表）。它的附加的功能包括有匿名的⽤户并对于MySQL特定的功能例如LOAD DATA INFILE进⾏授权及管理操作的能⼒。
管理员可以对user，db，host等表进⾏配置，来控制⽤户的访问权限，⽽user表权限是超级⽤户权限。只把user表的权限授予超级⽤户如服务器或数据库主管是明智的。对其他⽤户，你应该把在user
表中的权限设成’N'并且仅在特定数据库的基础上授权。你可以为特定的数据库、表或列授权，FILE权限给予你⽤LOAD DATA INFILE和SELECT … INTO OUTFILE语句读和写服务器上的⽂件，任何被授予FILE权限的⽤户都能读或写MySQL服务器能读或写的任何⽂件。(说明⽤户可以读任何数据库⽬录下的⽂件，因为服务器可以访问这些⽂件）。 FILE权限允许⽤户在MySQL服务器具有写权限的⽬录下创建新⽂件，但不能覆盖已有⽂件在user表的File_priv设置Y或N。，所以当你不需要对服务器⽂件读取时，请关闭该权限。
#mysql> load data infile ’’ into table loadfile.users fields terminated by ‘,’;
Query OK, 4 rows affected (0.00 sec) //读取本地信息’
Records: 4 Deleted: 0 Skipped: 0 Warnings: 0
#mysql> update user set File_priv=’N’ where user=’root’; //禁⽌读取权限
Query OK, 1 row affected (0.00 sec)
Rows matched: 1 Changed: 1 Warnings: 0
mysql> flush privileges; //刷新授权表
Query OK, 0 rows affected (0.00 sec)
#mysql> load data infile ’’ into table users fields terminated by ‘,’; //重登陆读取⽂件
#ERROR 1045 (28000): Access denied for user ‘root’@'localhost’ (using pass: YES) //失败
# mysql> select * from loadfile.users into outfile ‘’ fields terminated by ‘,’;
ERROR 1045 (28000): Access denied for user ‘root’@'localhost’ (using pass: YES)
为了安全起见，随时使⽤SHOW GRANTS语句检查查看谁已经访问了什么。然后使⽤REVOKE语句删除不再需要的权限。
12.使⽤chroot⽅式来控制MySQL的运⾏⽬录
Chroot是linux中的⼀种系统⾼级保护⼿段，它的建⽴会将其与主系统⼏乎完全隔离，也就是说，⼀旦遭到什么问题，也不会危及到正在运⾏的主系统。这是⼀个⾮常有效的办法，特别是在配置⽹络服务程序的时候。
13.关闭对⽆关的Web程序访问的⽀持
如果不打算让Web访问使⽤MySQL数据库，没有提供诸如PHP这样的Web语⾔的时候，重新设置或编译你的PHP，取消它们对MySQL的默认⽀持。假如服务器中使⽤php等web程序，试试⽤Web形式⾮法的请求，如果得到任何形式的MySQL错误，⽴即分析原因，及时修改Web程序，堵住漏洞，防⽌MySQL暴露在web⾯前。
对于Web的安全检查，在MySQL官⽅⽂档中这么建议，对于web应⽤，⾄少检查以下清单：
试试⽤Web形式输⼊单引号和双引号(‘’’和‘”’)。如果得到任何形式的MySQL错误，⽴即分析原因。
试试修改动态URL，可以在其中添加%22(‘”’)、%23(‘#’)和%27(‘’’)。
试试在动态URL中修改数据类型，使⽤前⾯⽰例中的字符，包括数字和字符类型。你的应⽤程序应⾜够安全，可以防范此类修改和类似攻击。
试试输⼊字符、空格和特殊符号，不要输⼊数值字段的数字。你的应⽤程序应在将它们传递到MySQL之前将它们删除或⽣成错误。将未经过检查的值传递给My SQL是很危险的！
将数据传给MySQL之前先检查其⼤⼩。
⽤管理账户之外的⽤户名将应⽤程序连接到数据库。不要给应⽤程序任何不需要的访问权限。
14.数据库备份策略
使⽤ mysqldump进⾏备份⾮常简单，如果要备份数据库” nagios_db_backup ”，使⽤命令，同时使⽤管道gzip命令对备份⽂件进⾏压缩，建议使⽤异地备份的形式，可以采⽤Rsync等⽅式，将备份服务器的⽬录挂载到数据库服务器，将数据库⽂件备份打包在，通过crontab定时备份数据：
#!/bin/sh
time=`date +”(“%F”)”%R`
$/usr/local/mysql/bin/mysqldump -u nagios -pnagios nagios | gzip >/home/sszheng/nfs58/nagiosbackup/nagios_backup.$
# crontab -l
# m h dom mon dow command
00 00 * * * /home/sszheng/shnagios/backup.sh
恢复数据使⽤命令：
gzip -d nagios_backup.2008−01−242008−01−2400\:00.gz
nagios_backup.(2008-01-24)00:00
#mysql –u root -p nagios < /home/sszheng/nfs58/nagiosbackup/nagios_backup.2008−01−242008−01−2412\:00
15. Mysqld安全相关启动选项
–local-infile[={0|1}]
如果⽤–local-infile=0启动服务器，则客户端不能使⽤LOCAL in LOAD DATA语句。
–old-passwords
强制服务器为新密码⽣成短(pre-4.1)密码哈希。当服务器必须⽀持旧版本客户端程序时，为了保证兼容性这很有⽤。
(OBSOLETE) –safe-show-database
在以前版本的MySQL中，该选项使SHOW DATABASES语句只显⽰⽤户具有部分权限的数据库名。在
MySQL 5.1中，该选项不再作为现在的默认⾏为使⽤，有⼀个SHOW DATABASES权限可以⽤来控制每个账户对数据库名的访问。
–safe-user-create
如果启⽤，⽤户不能⽤GRANT语句创建新⽤户，除⾮⽤户有mysql.user表的INSERT权限。如果你想让⽤户具有授权权限来创建新⽤户，你应给⽤户授予下⾯的权限：
mysql> GRANT INSERT(user) ON mysql.user TO ‘user_name’@'host_name’;
这样确保⽤户不能直接更改权限列，必须使⽤GRANT语句给其它⽤户授予该权限。
–secure-auth
不允许鉴定有旧(pre-4.1)密码的账户。
16.information_schema 安全
这个问题⼀直没有解决吗，但是很重要，⿊客可以通过它列出库内的表名和字段账号密码，可以参考官⽅有如下俩个提出
Phpmyadmin⾥隐藏⽅法
$cfg['servers'][$i]['hide_db'] = ‘information_schema’;
PHP IDS
memechae 代理
knock
1.php?id=1
1.php/?id=1

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。