请选择 进入手机版 | 继续访问电脑版
贠老师培训群:150322713    贠老师QQ:767708506

贠老师office培训-excel学习网

 找回密码
 立即注册
点击咨询贠老师
查看: 529|回复: 17

[mysql] MySQL数据库的其它安全问题

[复制链接]

607

主题

604

帖子

1909

积分

管理员

Rank: 9Rank: 9Rank: 9

积分
1909
发表于 2016-2-26 22:47:16 | 显示全部楼层 |阅读模式

数据库系统的安全性包括很多方面。由于很多情况下,数据库服务器容许客户机从网络上连接,因此客户机连接的安全对MySQL数据库安全有很重要的影响。

不在客户机的命令行上提供密码

使用mysql、mysqladmin等客户机用一个用户身份与MySQL服务器连接时,需要为连接提供密码。

1可以在命令行上提供密码

shell>mysql –u root –pmypass

注意,-p选项与密码之间不可有空格,否则会提示你输入密码,并报错。

你也可以使用长格式

shell>mysql –user=root –password=mypass

现在你可以考察这样做的后果:

在Unix上,$ps –aux | grep mysql

在win9x上,你可以按住Ctrl+Alt+Del键,NT上你可以打开任务管理器。

你发现了什么,你发现密码清清楚楚的显示在你的面前。所以,你无论何时也不要这么做。

所以你需要让客户机提示你的密码:

shell>mysql –u root –p

你也可以使用选项文件提供密码,但是注意为了安全,不能在选项文件中存储密码。你可以只提供password选项,让客户机提示你输入密码。

使用SSH加密客户机连接

这是一个关于怎样用SSH 得到一个安全的连接远程MySQL服务器的注意事项(David Carlson)。

在你的windows机器上安装SSH客户 - 我使用了一个来自http://www.doc.ic.ac.uk/~ci2/ssh/的免费SSH客户。其他有用的链接:

http://www.npaci.edu/Security/npaci_security_software.html

http://www.npaci.edu/Security/samples/ssh32_windows/index.html.

启动SSH。设置主机名字 = 你的MySql服务器名或IP地址,设置userid=你的用户名登录到你的服务器。

点击“local forwords”。设定local port: 3306, host: localhost, remote port: 3306

保存一切,否则下次你将必须再做一遍。

用SSH登录到你的服务器。

启动一些ODBC应用程序(例如Access)。

创造一个新文件并且用ODBC驱动程序链接到mySQL,就像你通常做的一样,除了对服务器用用户“localhost”。

搞定。它对一个直接的因特网连接工作得很好。

不要使用Unix的root用户运行MySQL守护进程

不要作为Unix的root用户运行MySQL守护进程。mysqld能以任何用户运行,你也可以创造一个新的Unix用户mysql使一切更安全。如果你作为其它Unix用户运行mysqld,你不需要改变在user表中的root用户名,因为MySQL用户名与Unix 用户名没关系。

你可以作为其它Unix用户编辑mysql.server启动脚本mysqld。或者使用选项文件。有关如何用非root用户启动MySQL服务器的细节,请见第二章。

数据库目录的安全

MySQL服务器提供了一个通过mysql数据库中的授权表,实现了一个十分灵活的权限系统,保证了从网络访问数据的安全性。但是,如果服务器主机上的其它用户拥有对服务器目录的直接访问权,那么你的服务器的数据仍旧是不安全的。

一般你可能用一个非特权的Unix用户执行守护程序。检查那个运行mysqld的Unix用户是唯一的在数据库目录下有读/写权限的用户。

可能的安全漏洞

显然,你不会让服务器主机上的其它用户拥有对数据库目录文件的写访问权,但是,仅仅是读访问权也非常危险。

由于象GRANT和SET PASSWORD这样的查询都被记录到日志中去了,常规和更新日志文件包含了有关密码的敏感查询文本。如果一个攻具有对这些日志的读访问权,那么他只要在日志文件中查找GRANT或PASSWORD这样的敏感单词,就很容易找到密码的明文。

对于表文件的读访问也是很危险的,窃取文件并使MySQL以及以纯文本的形式显示表的内容是微不足道的事。可以按下列步骤进行:

1、安装一个新的MySQL分发,可以是在另一台主机上,也可以就在当前的服务器主机上安装,使用与正式服务器不同的端口、套接字和数据文件。

2、将窃取的表的相应文件拷贝到新服务数据库目录中的test目录下

3、然后就可以启动作案服务器,可以随意访问所窃取表的内容。

在Unix设置合适的数据库目录权限

如果要消除这些安全漏洞,就要安排数据库目录及其中所有文件和目录的所有权,是的只有启动服务器的专用帐户才可以访问它们。操作步骤如下:

1、切换到root用户

$su

2、设置数据库目录及其中所有文件目录的所有权为运行该服务器的帐号所有,在本书中一直将这个帐号假定为mysql,把所有的组设为root组

%chown –R mysql:root DATADIR

3、修改数据库目录及其中所有文件目录的权限为只有所有者可以读写

%chmod –R go-rwx DATADIR

在NT系统中设置合适的数据库目录权限

在NT系统中的数据库目录的安全性可能比较简单:

读者可能想到,把所有目录文件改为只有某个帐户administrator例如可读写。但是,这样会有一个问题,就是这能在 administrator帐户中用手动启动独立的服务器,如果让mysql系统服务自动启动的方法也不可行,解决方法是让数据库目录也可被 administrators组用户读写,这样MySQL服务器就可以用系统服务的方法自动启动了,也可以在任何帐户中用net start mysql启动。

另外一个问题是,如果你在非administrators组用户中或者从网络都无法建立数据库连接,因为没有数据库目录的读的权利,如果要正常使用,还需要 写的权利。解决方法是让SYSTEM组用户能够队数据库目录读写。

由于许可证和费用的原因,通常建议你在Linux服务器上使用MySQL,在Windows平台之用来测试或者数据录入工作。但是,如果你要在Windows上使用的话,可以注意本小节的一些内容。

影响安全的mysqld选项

下列mysqld选项影响安全:

--secure

由gethostbyname()系统调用返回的IP数字被检查,确保他们解析回到原来的主机名。这对某些外人通过模仿其它主机获得存取权限变得更难。这个选项也增加一些聪明的主机名检查。在MySQL3.21里,选择缺省是关掉的,因为它有时它花很长时间执行反向解析。MySQL 3.22缓存主机名并缺省地启用了这个选项。

--skip-grant-tables

这个选项导致服务器根本不使用权限系统。这给每个人以完全存取所有的数据库的权力!(通过执行mysqladmin reload,你能告诉一个正在运行的服务器再次开始使用授权表。)

--skip-name-resolve

主机名不被解析。所有在授权表的Host的列值必须是IP数字或localhost。

--skip-networking

在网络上不允许TCP/IP连接。所有到mysqld的连接必须经由Unix套接字进行。这个选项对使用MIT-pthreads的系统是不合适的,因为MIT-pthreads包不支持Unix套接字。


想要了解更多更全面的web前段知识,css样式,html教程,数据库教程,word教程,excel教程等等,就到excel学习网www.excelxue.com


回复

使用道具 举报

0

主题

775

帖子

783

积分

高级会员

Rank: 4

积分
783
发表于 2016-3-5 21:35:27 | 显示全部楼层
好东西一定要看看!
回复 支持 反对

使用道具 举报

2

主题

1063

帖子

156

积分

注册会员

Rank: 2

积分
156
发表于 2016-3-8 14:15:41 | 显示全部楼层
抱走~老好人
回复 支持 反对

使用道具 举报

0

主题

902

帖子

10

积分

注册会员

Rank: 2

积分
10
发表于 2016-3-13 20:34:32 | 显示全部楼层
我是路过的,轻轻飘过
回复 支持 反对

使用道具 举报

1

主题

922

帖子

20

积分

注册会员

Rank: 2

积分
20
发表于 2016-3-17 22:18:22 | 显示全部楼层
顶顶
回复 支持 反对

使用道具 举报

0

主题

914

帖子

61

积分

注册会员

Rank: 2

积分
61
发表于 2016-3-22 17:02:01 | 显示全部楼层
佩服你,能发这么好的帖子,厉害
回复 支持 反对

使用道具 举报

3

主题

1001

帖子

67

积分

注册会员

Rank: 2

积分
67
发表于 2016-3-26 12:56:05 | 显示全部楼层
楼主不错
回复 支持 反对

使用道具 举报

4

主题

1034

帖子

195

积分

注册会员

Rank: 2

积分
195
发表于 2016-3-26 22:13:45 | 显示全部楼层
赞一个
回复 支持 反对

使用道具 举报

0

主题

775

帖子

783

积分

高级会员

Rank: 4

积分
783
发表于 2016-4-5 09:11:59 | 显示全部楼层
能再解释的细节一些吗,具体的
回复 支持 反对

使用道具 举报

2

主题

1063

帖子

156

积分

注册会员

Rank: 2

积分
156
发表于 2016-4-19 20:24:09 | 显示全部楼层
很不错的帖子,又学到了,力挺
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则



陕ICP备15003731号  

贠老师培训 GMT+8, 2018-12-15 00:01 , Processed in 0.229836 second(s), 30 queries .

快速回复 返回顶部 返回列表