注册
登录
| 关键词： nbsp PRIV 权限 enum Mysql 建议 数据库 Create USER nbs | |
目录1. 前言 2. Mysql账户权限安全 3. Mysql数据的网络安全配置 4. 密码策略安全 5. Mysql日志 6. Mysql数据库服务所在主机安全配置 7. 部署SQL注入检测、防御模块 8. mysqld安全相关启动选项 9. mysql备份策略1. 前言Mysql数据库安全配置、或者叫加固属于风险模型中的一环，它需要安全人员在理论和实践的学习中不断发现新的问题，并针对这些问题对数据的各个方面的配置进行强化。本文试图围绕着数据库风险识别、数据库安全加固这个问题，探讨可以采取的措施来最大程度的保证我们的数据库的安全控制处在一个较好的水平。2. Mysql账户权限安全mysql中存在4个控制权限的表，分别为1. mysql.USER表 2. mysql.DB表 3. mysql.TABLES_PRIV表 4. mysql.COLUMNS_PRIV表要注意的是，Mysql中有一个数据库”information_schema”，似乎里面保存的也是一些权限信息，但是要明白的是，这个数据库”information_schema”是为系统管理员提供元数据的一个简便方式，它实际上是一个视图，可以理解为对Mysql中的一个信息的封装，对于Mysql主程序来说，身份认证和授权的信息的来源只有一个，就是”mysql”。0×1. mysql.USER表select * from USER; desc USER; mysql> desc USER;+------------------------+-----------------------------------+------+-----+---------+-------+ | Field | Type | Null | Key | Default | Extra | +------------------------+-----------------------------------+------+-----+---------+-------+ | Host | char(60) | NO | PRI | | | | User | char(16) | NO | PRI | | | | Password | char(41) | NO | | | | | Select_priv | enum('N','Y') | NO | | N | | | Insert_priv | enum('N','Y') | NO | | N | | | Update_priv | enum('N','Y') | NO | | N | | | Delete_priv | enum('N','Y') | NO | | N | | | Create_priv | enum('N','Y') | NO | | N | | | Drop_priv | enum('N','Y') | NO | | N | | | Reload_priv | enum('N','Y') | NO | | N | | | Shutdown_priv | enum('N','Y') | NO | | N | | | Process_priv | enum('N','Y') | NO | | N | | | File_priv | enum('N','Y') | NO | | N | | | Grant_priv | enum('N','Y') | NO | | N | | | References_priv | enum('N','Y') | NO | | N | | | Index_priv | enum('N','Y') | NO | | N | | | Alter_priv | enum('N','Y') | NO | | N | | | Show_db_priv | enum('N','Y') | NO | | N | | | Super_priv | enum('N','Y') | NO | | N | | | Create_tmp_table_priv | enum('N','Y') | NO | | N | | | Lock_tables_priv | enum('N','Y') | NO | | N | | | Execute_priv | enum('N','Y') | NO | | N | | | Repl_slave_priv | enum('N','Y') | NO | | N | | | Repl_client_priv | enum('N','Y') | NO | | N | | | Create_view_priv | enum('N','Y') | NO | | N | | | Show_view_priv | enum('N','Y') | NO | | N | | | Create_routine_priv | enum('N','Y') | NO | | N | | | Alter_routine_priv | enum('N','Y') | NO | | N | | | Create_user_priv | enum('N','Y') | NO | | N | | | Event_priv | enum('N','Y') | NO | | N | | | Trigger_priv | enum('N','Y') | NO | | N | | | Create_tablespace_priv | enum('N','Y') | NO | | N | | | ssl_type | enum('','ANY','X509','SPECIFIED') | NO | | | | | ssl_cipher | blob | NO | | NULL | | | x509_issuer | blob | NO | | NULL | | | x509_subject | blob | NO | | NULL | | | max_questions | int(11) unsigned | NO | | 0 | | | max_updates | int(11) unsigned | NO | | 0 | | | max_connections | int(11) unsigned | NO | | 0 | | | max_user_connections | int(11) unsigned | NO | | 0 | | | plugin | char(64) | YES | | | | | authentication_string | text | YES | | NULL | | | password_expired | enum('N','Y') | NO | | N | | +------------------------+-----------------------------------+------+-----+---------+-------+0×2. mysql.DB表select * from DB; desc DB; mysql> desc DB; +-----------------------+---------------+------+-----+---------+-------+ | Field | Type | Null | Key | Default | Extra | +-----------------------+---------------+------+-----+---------+-------+ | Host | char(60) | NO | PRI | | | | Db | char(64) | NO | PRI | | | | User | char(16) | NO | PRI | | | | Select_priv | enum('N','Y') | NO | | N | | | Insert_priv | enum('N','Y') | NO | | N | | | Update_priv | enum('N','Y') | NO | | N | | | Delete_priv | enum('N','Y') | NO | | N | | | Create_priv | enum('N','Y') | NO | | N | | | Drop_priv | enum('N','Y') | NO | | N | | | Grant_priv | enum('N','Y') | NO | | N | | | References_priv | enum('N','Y') | NO | | N | | | Index_priv | enum('N','Y') | NO | | N | | | Alter_priv | enum('N','Y') | NO | | N | | | Create_tmp_table_priv | enum('N','Y') | NO | | N | | | Lock_tables_priv | enum('N','Y') | NO | | N | | | Create_view_priv | enum('N','Y') | NO | | N | | | Show_view_priv | enum('N','Y') | NO | | N | | | Create_routine_priv | enum('N','Y') | NO | | N | | | Alter_routine_priv | enum('N','Y') | NO | | N | | | Execute_priv | enum('N','Y') | NO | | N | | | Event_priv | enum('N','Y') | NO | | N | | | Trigger_priv | enum('N','Y') | NO | | N | | +-----------------------+---------------+------+-----+---------+-------+0×3. mysql.TABLES_PRIV表select * from TABLES_PRIV; desc TABLES_PRIV; mysql> desc TABLES_PRIV; +-------------+-----------------------------------------------------------------------------------------------------------------------------------+------+-----+-------------------+-----------------------------+ | Field | Type | Null | Key | Default | Extra | +-------------+-----------------------------------------------------------------------------------------------------------------------------------+------+-----+-------------------+-----------------------------+ | Host | char(60) | NO | PRI | | | | Db | char(64) | NO | PRI | | | | User | char(16) | NO | PRI | | | | Table_name | char(64) | NO | PRI | | | | Grantor | char(77) | NO | MUL | | | | Timestamp | timestamp | NO | | CURRENT_TIMESTAMP | on update CURRENT_TIMESTAMP | | Table_priv | set('Select','Insert','Update','Delete','Create','Drop','Grant','References','Index','Alter','Create View','Show view','Trigger') | NO | | | | | Column_priv | set('Select','Insert','Update','References') | NO | | | | +-------------+-----------------------------------------------------------------------------------------------------------------------------------+------+-----+-------------------+-----------------------------+0×4. mysql.COLUMNS_PRIV表select * from COLUMNS_PRIV; desc COLUMNS_PRIV; mysql> desc COLUMNS_PRIV; +-------------+----------------------------------------------+------+-----+-------------------+-----------------------------+ | Field | Type | Null | Key | Default | Extra | +-------------+----------------------------------------------+------+-----+-------------------+-----------------------------+ | Host | char(60) | NO | PRI | | | | Db | char(64) | NO | PRI | | | | User | char(16) | NO | PRI | | | | Table_name | char(64) | NO | PRI | | | | Column_name | char(64) | NO | PRI | | | | Timestamp | timestamp | NO | | CURRENT_TIMESTAMP | on update CURRENT_TIMESTAMP | | Column_priv | set('Select','Insert','Update','References') | NO | | | | +-------------+----------------------------------------------+------+-----+-------------------+-----------------------------+以上是这4个表的基本结构，在我们进行数据库连接、登录的时候，mysql权限表的验证过程为：1. 先从user表中的: 1) Host 2) User 3) Password 这3个字段中判断连接的ip、用户名、密码是否存在，存在则通过验证。 2. 通过身份认证后，进行权限分配，按照: 1) user 2) db 3) tables_priv 4) columns_priv 的顺序进行验证。 即先检查全局权限表user，如果user中对应的权限为Y，则此用户对所有数据库的权限都为Y，将不再检查db，tables_priv,columns_priv 如果全局权限表user对应的权限为N，则到db表中检查此用户对应的具体数据库，并得到db中为Y的权限 如果db中为N，则检查tables_priv中此数据库对应的具体表，取得表中的权限Y，以此类推。逐级下降用流程图表示如下：了解了Mysql的账户权限原理和判断流程，我们接下来需要了解就是应该以怎样的方式去进行权限配置，才能达到所谓的”最小权限原则”呢？Mysql的账户权限优先级顺序是:user->db->tables_priv->columns_pri稍作思考，我们可以发现，这些表的作用本质上是一样的，区别就在于它们的作用域范围不同，从user到columns_pri逐级作用域范围降低，因此控制粒度也增大，它们的配置遵循”就近原则”，即以优先级最低的那个为准，所以，我们在进行Mysql的账户权限安全配置的时候会发现”我们似乎在做很多重复性的工作”。但我们要明白的，Mysql的这种逐层次的权限配置体系为我们提供了一个细粒度的控制方法。所以我们的权限配置也应该按照这个顺序来有规划地进行。0×1. USER表权限权限级别权限说明最佳安全实践: 网站使用账户是否给予CREATE数据库、表或索引创建数据库、表或索引权限建议给与，安装WEB系统时需要创建表DROP数据库或表删除数据库或表权限 建议给与GRANT OPTION数据库、表或保存的程序赋予权限选项 不建议给与REFERENCES数据库或表无 不建议给与ALTER表更改表，比如添加字段、索引等 建议给与DELETE表删除数据权限 建议给与INDEX表索引权限 建议给与INSERT表插入权限 建议给与SELECT表查询权限 建议给与UPDATE表更新权限 建议给与CREATE VIEW视图创建视图权限 建议给与SHOW VIEW视图查看视图权限 建议给与ALTER ROUTINE存储过程更改存储过程权限 不建议给与CREATE ROUTINE存储过程创建存储过程权限 不建议给与EXECUTE存储过程执行存储过程权限 不建议给与FILE服务器主机上的文件访问文件访问权限不建议给与，防止因为注入导致的隐私文件泄漏CREATE TEMPORARY TABLES服务器管理创建临时表权限不建议给与，防止借助临时表发动的二次注入LOCK TABLES服务器管理锁表权限 不建议给与CREATE USER服务器管理创建用户权限 不建议给与PROCESS服务器管理查看进程权限 不建议给与RELOAD服务器管理执行flush-hosts, flush-logs, flush-privileges, flush-status, flush-tables, flush-threads, refresh, reload等命令的权限 不建议给与REPLICATION CLIENT服务器管理复制权限 不建议给与REPLICATION SLAVE服务器管理 | 声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系 [邮箱地址] 删除 |
