MySQL數據庫安全配置指南

　　前言
　　
　　MySQL是完全網絡化的跨平台關系型數據庫系統同時是具有客戶機/服務器體系結構的分布式數據庫管理系統它具有功能強使用簡便管理方便運行速度快安全可靠性強等優點用戶可利用許多語言編寫訪問MySQL數據庫的程序特別是與PHP更是黃金組合運用十分廣泛
　　
　　由於MySQL是多平台的數據庫它的默認配置要考慮各種情況下都能適用所以在我們自己的使用環境下應該進行進一步的安全加固作為一個MySQL的系統管理員我們有責任維護MySQL數據庫系統的數據安全性和完整性
　　
　　MySQL數據庫的安全配置必須從兩個方面入手系統內部安全和外部網絡安全另外我們還將簡單介紹編程時要注意的一些問題以及一些小竅門
　　
　　系統內部安全
　　
　　首先簡單介紹一下MySQL數據庫目錄結構MySQL安裝好運行了mysql_db_install腳本以後就會建立數據目錄和初始化數據庫如果我們用MySQL源碼包安裝而且安裝目錄是/usr/local/mysql那麼數據目錄一般會是/usr/local/mysql/var數據庫系統由一系列數據庫組成每個數據庫包含一系列數據庫表MySQL是用數據庫名在數據目錄建立建立一個數據庫目錄各數據庫表分別以數據庫表名作為文件名擴展名分別為MYDMYIfrm的三個文件放到數據庫目錄中
　　
　　MySQL的授權表給數據庫的訪問提供了靈活的權限控制但是如果本地用戶擁有對庫文件的讀權限的話攻擊者只需把數據庫目錄打包拷走然後拷到自己本機的數據目錄下就能訪問竊取的數據庫所以MySQL所在的主機的安全性是最首要的問題如果主機不安全被攻擊者控制那麼MySQL的安全性也無從談起其次就是數據目錄和數據文件的安全性也就是權限設置問題
　　
　　從MySQL主站一些老的binary發行版來看xx版本中數據目錄的屬性是這樣非常危險任何本地用戶都可以讀數據目錄所以數據庫文件很不安全xx版本中數據目錄的屬性是這種屬性也有些危險本地的同組用戶既能讀也能寫所以數據文件也不安全xx版本數據目錄的屬性是這樣就比較好只有啟動數據庫的用戶可以讀寫數據庫文件保證了本地數據文件的安全
　　
　　如果啟動MySQL數據庫的用戶是mysql那麼象如下的目錄和文件的是安全的請注意數據目錄及下面的屬性
　　
　　shell>ls l /usr/local/mysql
　　
　　total
　　
　　drwxrwxrx root root Feb : bin
　　
　　drwxrwxrx root root Feb : include
　　
　　drwxrwxrx root root Feb : info
　　
　　drwxrwxrx root root Feb : lib
　　
　　drwxrwxrx root root Feb : libexec
　　
　　drwxrwxrx root root Feb : man
　　
　　drwxrwxrx root root Feb : mysqltest
　　
　　drwxrwxrx root root Feb : share
　　
　　drwxrwxrx root root Feb : sqlbench
　　
　　drwx mysql mysql Feb : var
　　
　　shell>ls l /usr/local/mysql/var
　　
　　total
　　
　　drwx mysql mysql Feb : mysql
　　
　　drwx mysql mysql Feb : test
　　
　　shell>ls l /usr/local/mysql/var/mysql
　　
　　total
　　
　　rw mysql mysql Feb : columns_privMYD
　　
　　rw mysql mysql Feb : columns_privMYI
　　
　　rw mysql mysql Feb : columns_privfrm
　　
　　rw mysql mysql Feb : dbMYD
　　
　　rw mysql mysql Feb : dbMYI
　　
　　rw mysql mysql Feb : dbfrm
　　
　　rw mysql mysql Feb : funcMYD
　　
　　rw mysql mysql Feb : funcMYI
　　
　　rw mysql mysql Feb : funcfrm
　　
　　rw mysql mysql Feb : hostMYD
　　
　　rw mysql mysql Feb : hostMYI
　　
　　rw mysql mysql Feb : hostfrm
　　
　　rw mysql mysql Feb : tables_privMYD
　　
　　rw mysql mysql Feb : tables_privMYI
　　
　　rw mysql mysql Feb : tables_privfrm
　　
　　rw mysql mysql Feb : userMYD
　　
　　rw mysql mysql Feb : userMYI
　　
　　rw mysql mysql Feb : userfrm
　　
　　如果這些文件的屬主及屬性不是這樣請用以下兩個命令修正之
　　
　　shell>chown R mysqlmysql /usr/local/mysql/var
　　
　　shell>chmod R gorwx /usr/local/mysql/var
　　
　　用root用戶啟動遠程服務一直是安全大忌因為如果服務程序出現問題遠程攻擊者極有可能獲得主機的完全控制權MySQL從版本開始時作了小小的改動默認安裝後服務要用mysql用戶來啟動不允許root用戶啟動如果非要用root用戶來啟動必須加上user=root的參數(/safe_mysqld user=root &)因為MySQL中有LOAD DATA INFILE和SELECT INTO OUTFILE的SQL語句如果是root用戶啟動了MySQL服務器那麼數據庫用戶就擁有了root用戶的寫權限不過MySQL還是做了一些限制的比如LOAD DATA INFILE只能讀全局可讀的文件SELECT INTO OUTFILE不能覆蓋已經存在的文件
　　
　　本地的日志文件也不能忽視包括shell的日志和MySQL自己的日志有些用戶在本地登陸或備份數據庫的時候為了圖方便有時會在命令行參數裡直接帶了數據庫的密碼如
　　
　　shell>/usr/local/mysql/bin/mysqldump uroot ptest test>testsql
　　
　　shell>/usr/local/mysql/bin/mysql uroot ptest
　　
　　這些命令會被shell記錄在歷史文件裡比如bash會寫入用戶目錄的bash_history文件如果這些文件不慎被讀那麼數據庫的密碼就會洩漏用戶登陸數據庫後執行的SQL命令也會被MySQL記錄在用戶目錄的mysql_history文件裡如果數據庫用戶用SQL語句修改了數據庫密碼也會因mysql_history文件而洩漏所以我們在shell登陸及備份的時候不要在p後直接加密碼而是在提示後再輸入數據庫密碼
　　
　　另外這兩個文件我們也應該不讓它記錄我們的操作以防萬一
　　
　　shell>rm bash_history mysql_history
　　
　　shell>ln s /dev/null bash_history
　　
　　shell>ln s /dev/null mysql_history
　　
　　上門這兩條命令把這兩個文件鏈接到/dev/null那麼我們的操作就不會被記錄到這兩個文件裡了
　　
　　外部網絡安全
　　
　　MySQL數據庫安裝好以後Unix平台的user表是這樣的
　　
　　mysql> use mysql;
　　
　　Database changed
　　
　　mysql> select HostUserPasswordSelect_privGrant_priv from user;
　　　educitycn/img_///jpg>
　　圖
　　
　　 rows in set ( sec)
　　
　　Windows平台的user表是這樣的
　　
　　mysql> use mysql;
　　
　　Database changed
　　
　　mysql> select HostUserPasswordSelect_privGrant_priv from user;
　　　educitycn/img_///jpg>
　　圖
　　
　　 rows in set ( sec)
　　
　　我們先來看Unix平台的user表其中redhat只是我試驗機的機器名所以實際上Unix平台的MySQL默認只允許本機才能連接數據庫但是缺省root用戶口令是空所以當務之急是給root用戶加上口令給數據庫用戶加口令有三種方法
　　
　　)在shell提示符下用mysqladmin命令來改root用戶口令:
　　
　　shell>mysqladmin uroot password test
　　
　　這樣MySQL數據庫root用戶的口令就被改成test了（test只是舉例我們實際使用的口令一定不能使用這種易猜的弱口令）
　　
　　)用set password修改口令
　　
　　mysql> set password for root@localhost=password(test);
　　
　　這時root用戶的口令就被改成test了
　　
　　)直接修改user表的root用戶口令
　　
　　mysql> use mysql;
　　
　　mysql> update user set password=password(test) where user=root;
　　
　　mysql> flush privileges;
　　
　　這樣MySQL數據庫root用戶的口令也被改成test了其中最後一句命令flush privileges的意思是強制刷新內存授權表否則用的還是緩沖中的口令這時非法用戶還可以用root用戶及空口令登陸直到重啟MySQL服務器
　　
　　我們還看到user為空的匿名用戶雖然它在Unix平台下沒什麼權限但為了安全起見我們應該刪除它
　　
　　mysql> delete from user where user=;
　　
　　Windows版本MySQL的user表有很大不同我們看到Host字段除了localhost還有是%這裡%的意思是允許任意的主機連接MySQL服務器這是非常不安全的給攻擊者造成可乘之機我們必須刪除Host字段為%的記錄
　　
　　mysql>de
From:http://tw.wingwit.com/Article/program/MySQL/201311/29418.html