mysql網(wǎng)絡數(shù)據(jù)庫系統(tǒng)的安全性研究(編輯修改稿)
2025-07-25 08:14 本頁面
【文章內(nèi)容簡介】 許可證一起發(fā)布的還有一個支持程序包，該程序包非常重要，它使得其他公司可以將MySQl引擎插入到他們的產(chǎn)品中而無需開放其他產(chǎn)品源代碼。 MySQl數(shù)據(jù)庫安全機制 本節(jié)重點討論MySQl數(shù)據(jù)庫的安全機制。具體分為：背景、訪問控制、MySQl的用戶、MySQl配置、例行審計等五個方面。如果想了解攻擊者，那么擁有最新的信息來源是非常重要的。（1）MySQL數(shù)據(jù)庫有一支非常敏感的安全團隊，他們會將第三方查明的信息以及BUG報告反饋在文檔中。這些關于MySQL的安全文檔是我們收集MySQL安全材料的第一選擇。（2）MySQL會頻繁的發(fā)布新的版本。當它發(fā)布新版本時，總會有一個非常綜合的變更日志，它會詳細地記錄下新版本中新增加的或者是修改過的內(nèi)容。如果您正在一個項目的某個階段，它會使您有時間決定DBMS，并且您正在關注MySQL的話，那么這將幫助您進一步理解哪個版本有哪些特色和舊版本中有哪些BUG。（3）了解您的BUG！有規(guī)律地檢查脆弱數(shù)據(jù)庫，如Security Focus以及ICAT，看是否有MySQL bug,并且訂閱安全郵件列表。基于您自己的特定環(huán)境，最好的方法就是一旦有信息公布就立即關注這些問題，而不是等待著補丁的發(fā)布。 MySQL為我們提供了一套簡單而且有效的安全管理措施。MySQL管理員保護數(shù)據(jù)庫內(nèi)容的安全，似的記錄只能由經(jīng)過嚴格認證的那些用戶訪問。包括內(nèi)部安全性和外部安全性。（1）內(nèi)部安全性關心文件系統(tǒng)級的問題就是內(nèi)部安全性，像保護MySQL數(shù)據(jù)庫目錄避免遭到擁有運行服務器的機器賬號的用戶攻擊。但是，如果數(shù)據(jù)內(nèi)容的文件許可權過分隨意，那么有人可以將對應這些表的文件進行簡單的替換，這樣的話，內(nèi)部的安全性就不能很好地確保適當?shù)慕W(wǎng)絡上客戶機訪問的授權表的控制。數(shù)據(jù)庫管理員應保護的內(nèi)容包括：數(shù)據(jù)庫文件和日志文件。（2）外部安全性 外部安全性關心客戶機從外部連接的問題，像防止MySQL服務器遭受利用網(wǎng)絡與服務器連接請求導致的數(shù)據(jù)庫內(nèi)容訪問攻擊。MySQL有一套先進但是不是很標準的安全/授權系統(tǒng)，其授權機制的基本作用就是給某個主機上的用戶對某個數(shù)據(jù)庫對象一些權限。 MySQL用戶一旦操作系統(tǒng)受到保護，就需要鎖定MySQL本身。這樣做的一步就是準備用戶賬戶和特權模型。（1）為root@localhost賬戶設置一個“強健”的口令。這樣做的原因很明顯；在MySQL中部存在多次輸錯口令后就將用戶鎖定的這種情況。因此，對于MySQL用戶名和口令的bruteforce攻擊是很有效的。設置這樣的“強健”口令能夠幫助預防攻擊者的猜測口令行為。（2）刪除所有非root的MySQL用戶。在初始的安裝階段，了解哪些用戶能夠訪問數(shù)據(jù)庫是很重要的。最好的方法就是將這些用戶從最核心處刪除，然后建立您所需要的用戶。（3）將MySQL的root用戶重命名為較復雜的名字（4）如果啟用了遠程連接，那么在建立用戶時要指定GRANT語句中的REQUIRE SSL。它會為特殊用戶在連接時執(zhí)行SSL加密。這樣做有兩個好處：第一，它保證用戶所寫的開發(fā)腳本不會其作用；第二，它保證了口令盤問\回答的順序。（5）為每個Web應用創(chuàng)建一個MySQL用戶。例如，可以有一個MySQL用戶來更新表格，另一個低特權的用戶來從表格中進行選擇。如果攻擊者能夠攻擊某個應用程序，那么它將會調(diào)整組件的特權以使攻擊者受到限制。（6）確保MySQL用戶都能受到IP地址限制，也能受到口令的限制。一旦嵌入MySQL配置，那么考慮下限制用戶的IP地址，是用戶無法自行驗證。（7）如果賬戶不一定需要，不要隨便給出賬戶特權。如果必須與MySQL下的文件系統(tǒng)相互作用，那么考慮創(chuàng)建個單獨的MySQL賬戶，這樣就可以進行應用了。（8）。因為如果他們能從用戶表格中讀取口令散列，那么就能以其他任意用戶身份登錄。一旦用戶和特權問題得以解決，那么還有其他一些配置方面的修改需要去做，以便提高安全系數(shù)。(1)在MySQL文檔中“general query log”被認為是調(diào)試時的一個特色。它并不記錄這些查詢的結(jié)果或返回的數(shù)據(jù)，但可以提供給我們線索誰在我們的數(shù)據(jù)庫上做了什么，所以值得對該配置進行修改。查詢?nèi)罩驹谀J情況下是禁用的，所以必須要用log來進行激活。(2) 文件中加入setvariable=localinfile=0來禁用LOAD DATA LOCAL INFILE命令。這個命令是LOAD DATA語句的一個變體，它允許客戶機直接從本地文件系統(tǒng)中的文件上傳數(shù)據(jù)至MySQL表中。這可能會被攻擊者在某些情況下用以在客戶機主機上閱讀文件。(3)刪除任何不用的UDF。UDF可能出乎意料地產(chǎn)生危險。MyPHP、MyPERL、MyLUA等等都允許攻擊者通過一些簡單的腳本命令在服務器上大肆擴展自己的控制權。如果您沒有使用UDF，那么應當立即刪除。(4)如果僅僅正在使用本地連接，那么通過設置skipnetworking選項來禁用TCP/IP連接。因為有時遠程主機沒有必要去連接MySQL。(5)根據(jù)具體的操作系統(tǒng)以及數(shù)據(jù)目錄的配置情況，可以通過設置skipsymboliclinks選項來禁用symbolic鏈接。MySQL的symbolic鏈接在Windows平臺上以受限制的方式得到支持，限制包括創(chuàng)建一個名為“database”.sym的文件，以及創(chuàng)建通往數(shù)據(jù)庫所有表格文件所在目錄的路徑。在一些Unix系統(tǒng)上，symbolic鏈接會導致一些問題。如果用戶能夠修改一個symbolic鏈接，那么它們將能夠與文件系統(tǒng)相互作用，從而使真正的mysql用戶也受到限制。(6)刪除默認的測試數(shù)據(jù)庫。默認情況下，測試數(shù)據(jù)庫是存在的，應將該數(shù)據(jù)庫刪除。它能訪問的有效數(shù)據(jù)庫名字可能對攻擊者有用，所以默認的測試數(shù)據(jù)庫應該刪除。（1）確保MySQL通信量是加密的。在默認情況下，MySQL流量是不加密的。這意味著如果一個攻擊者能夠在客戶機和服務之間建立的連接上進行竊聽，那么他就能獲取用戶名和口令盤問/回答序列。一旦所有內(nèi)容都啟動且正在運行，就不應該在不管理的情況下讓MySQL獨自運行。如果一級防范進行得充分，就會很好地防御攻擊者，但是知道有人在試圖攻擊你將會很有幫助，即使他們沒有成功。關鍵是要時刻保持著警惕。（1）檢查日志如果已經(jīng)用log選項配置了查詢?nèi)罩?，我們應該定期查看正在發(fā)生些什么事情。特別是查看是否有一些常用的SQL注入攻擊，并且使用loadfile、以及outfile的文件系統(tǒng)語法。定期檢查錯誤日志也是很重要的，盡管它們提供的信息沒有查詢?nèi)罩灸敲炊?。記住，與日志進行交互時，日志數(shù)據(jù)是調(diào)試敏感的；如果正把它引入到其他存儲庫進行分析，記住查詢?nèi)罩究赡馨脩裘涂诹睢＃?）定期計算用戶數(shù)，并且使用s
黨政相關相關推薦
鄂ICP備17016276號-1