| VB 源码 | VC 源码 | ASP源码 | JSP源码 | PHP源码 | CGI源码 | FLASH源码 | 素材模板 | C 源程序 | 站长工具 | 站长教程 |

数据库

数据库
邮件服务
Linux
Win9x/ME
Win2000/NT
WinXP/Server

本类阅读TOP10

·5种修改MySql的用户密码的方法
·九大数据库特点比较
·远程连接access数据库的方法
·浅谈数据库设计技巧(上)
·MySQL和Postgres的比较
·SQL Server存储图像数据的策略与方法
·安装Oracle服务器
·浅谈数据库设计技巧(下)
·Sql server中时间查询的一个比较快的语句
·无组件上传图片到数据库中,最完整解决方案

站内搜索

mysql安全问题(匿名用户)的一点心得

前两天在帮朋友整理他的主页空间时候,发现的一点关于mysql可能大家都会忽略的问题:
我们知道,在安装完MySQL后,它会自动创建一个root用户和一个匿名用户,其初始密码都是空,对于前者,很多参考资料上都会提醒大家要注意及时设定一个密码,而忽略了后者,大概是因为后者默认设定为只能在本机使用的缘故吧。

但如果你的mysql是要提供给web服务器作数据库服务的,忽略这个匿名用户的代价可能相当惨重,因为在默认设置下,这个匿名用户在localhost上几乎拥有和root一样的权限,这时候,如果你的客户拥有上传脚本文件、脚本文件可以进行mysql数据库操作(比如允许操作mysql的php)的权限已经可能将你的MySQL改动得面目全非了:

我今天帮朋友整理他的主页空间的时候,试着写了一个很简单的执行sql语句的php文件上传上去,其中连接字中的user,password我都试着置空,host=localhost,结果发现我的sql语句可以执行,于是执行select * from mysql.user察看用户权限,发现这个用户在localhost权限非常高,连grant_priv都有,(察看的时候,会发现在root用户下有两行用户名、密码为空的,但各项权限有y\n的,就是这个匿名用户本地、远程权限设置了)

所以我试着用这个php页面创建一个新用户,并grant给他较高的权限,结果一举成功,这样我就可以用这个新用户通过我本机的mysql client连接到这个网站的mysql server,并用这个新建立的用户的管理权限对这个网站的mysql server进行管理,看到自己可以进行这样轻易获得深入的数据库操作,我怎么还敢把朋友的主页空间的敏感资料放入这个mysql server呢?

改进建议:
1。在安装完成mysql 后,不仅改变root用户的的密码,也同时改变匿名用户的密码,方法类似改变root的密码的方式:
Mysql> UPDATE user set password=PASSWORD('yournewpassword') where user='';
Mysql>FLUSH PRIVILEGES;
2。如非必要,删除这个匿名用户,这样所有人要使用mysql 都必须提供用户名,即便日后出了问题,也容易查找问题的源头。
3。除了root用户外,其他用户包括匿名用户(如果没有删除这个用户)不应该拥有grant权限,防止管理权限不受控制的扩散出去。
4。赋予用户update\delete\alert\create\drop权限的时候,应该限定到特定的数据库,尤其要避免普通客户拥有对mysql数据库做操作的权限,否则你的系统设置很可能被替换掉。
5。检查mysql.user表,取消不必要用户的shutdown_priv,reload_priv,process_priv和File_priv权限,这些权限可能泄漏更多的服务器信息包括非mysql的其它信息出去。
6。如果不打算让你的用户使用mysql数据库,在提供诸如php这样的脚本语言的时候,重新设置或编译你的php,取消它们对mysql的默认支持。





相关文章
  • 设置 MySql 数据同步
  • 用PHP连mysql和oracle数据库性能比较
  • 数据库正规化和设计技巧
  • 搭建基于Linux的Informix数据库开发环境
  • 我在RedHat7.0下安装Oracle的经历
  • 将你的网站从MySQL改为PostgreSQL(下)
  • 将你的网站从MySQL改为PostgreSQL(上)
  • 客观公正地评价MySQL和PostgreSQL的优劣
  • 安装Oracle服务器
  • 如何编写高效的MySQL应用
  • 如何将图片储存在数据库里
  • 如何在你的Linux机器上安装运行Oracle
  • 基于MySQL的高性能数据库应用开发
  • 在RedHat7.1上安装Oracle817数据库
  • 在RedHat 6.0上安装Oracle 8i(全攻略)
  • 在Linux中访问MSSQL(PHP版)
  • 在Linux上建立PostgreSQL数据库服务器
  • 加大MySql的最大连接数
  • 使用MySQL内建复制功能来最佳化可用性
  • 从MySQL导入导出大量数据的程序实现方法
  • 相关软件


    下载首页关于我们广告服务联系方式常见问题隐私声明法律条款本站声明下载帮助发布软件站点地图谷歌卫星地图