程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 數據庫知識 >> MYSQL數據庫 >> 關於MYSQL數據庫 >> Mysql默認設置的危險性分析

Mysql默認設置的危險性分析

編輯:關於MYSQL數據庫
默認安裝的mysql服務不安全因素涉及的內容有:
一.mysql默認的授權表
二.缺乏日志能力
三.my.ini文件洩露口令
四.服務默認被綁定全部的網絡接口上
五.默認安裝路徑下的mysql目錄權限
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
一.mysql默認的授權表
由於mysql對身份驗證是基於mysql這個數據庫的,也叫授權表。所有的權限設置都在這裡了。
我們只討論最為重要的一個表 user表。它控制的是接受或拒絕連接。
先看一下
select host,user,password,Delete_priv from user;
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
| % | root | | Y |
| localhost | | | Y |
| % | | | N |
+-----------+------+------------------+-------------+
現在新的版本,安裝完畢都會出現一個快速設置窗口,用於設置口令。
以上,就是user表裡的內容(略了點)看看有什麼問題?
我們知道mysql的驗證方式是比較特殊的,它基於兩個2個信息來進行的
1.從那裡連接
2.用戶名
第一條沒什麼問題,當然口令必須是安全的。
第二條從任何主機,以用戶root,不需要口令都可以連接,權限為所有的權限。(注:這裡的權限是全局權限)
第三條從本地主機,任何用戶名(注:user為空白,不表示不需要用戶名),不需要口令,都可以連接,所有的權限
第四條從任何主機,任何用戶名,不需要口令,都可以連接,無任何權限。
可以看出,2\3\4都是不安全的,如何攻擊這裡就不說了,請參看資料文庫。
如果你mysql只允許本地連接,刪除host的%和user中的nul(表示空)
delete from user where host='% ';
delete from host where user=' ';
最後的user表,看起來因該是這個樣子
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
+-----------+------+------------------+-------------+
最後需要刷新授權表,使其立刻生效
flush privileges;
如果你的mysql需要被遠程使用,需要為%段中的root帳號,加上一個安全的密碼
update user set password=password(‘youpass‘) where host=‘%‘;
其中youpass,就是口令
mysql> select host,user,password,Delete_priv from user;
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
| % | root | 77c590fa148bc9fb | Y |
+-----------+------+------------------+-------------+
當前1/2頁 12下一頁
  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved