共計 4654 個字符，預計需要花費 12 分鐘才能閱讀完成。
本篇內容介紹了“MySQL 數(shù)據(jù)庫的安全配置”的有關知識，在實際案例的操作過程中，不少人都會遇到這樣的困境，接下來就讓丸趣 TV 小編帶領大家學習一下如何處理這些情況吧！希望大家仔細閱讀，能夠學有所成！
由于 MySQL 是多平臺的數(shù)據(jù)庫，它的默認配置要考慮各種情況下都能適用，所以在我們自己的使用環(huán)境下應該進行進一步的安全加固。作為一個 MySQL 的系統(tǒng)管理員，我們有責任維護 MySQL 數(shù)據(jù)庫系統(tǒng)的數(shù)據(jù)安全性和完整性。
MySQL 數(shù)據(jù)庫的安全配置必須從兩個方面入手，系統(tǒng)內部安全和外部，另外我們還將簡單介紹編程時要注意的一些問題以及一些小竅門。
系統(tǒng)內部安全
首先簡單介紹一下 MySQL 數(shù)據(jù)庫目錄結構。MySQL 安裝好，運行了 mysql_db_install 腳本以后就會建立數(shù)據(jù)目錄和初始化數(shù)據(jù)庫。如果我們用 MySQL 包安裝，而且安裝目錄是 /usr/local/mysql，那么數(shù)據(jù)目錄一般會是 /usr/local/mysql/var。系統(tǒng)由一系列數(shù)據(jù)庫組成，每個數(shù)據(jù)庫包含一系列數(shù)據(jù)庫表。MySQL 是用數(shù)據(jù)庫名在數(shù)據(jù)目錄建立建立一個數(shù)據(jù)庫目錄，各數(shù)據(jù)庫表分別以數(shù)據(jù)庫表名作為文件名，擴展名分別為 MYD、MYI、frm 的三個文件放到數(shù)據(jù)庫目錄中。
MySQL 的授權表給數(shù)據(jù)庫的訪問提供了靈活的權限控制，但是如果本地用戶擁有對庫文件的讀權限的話，攻擊者只需把數(shù)據(jù)庫目錄打包拷走，然后拷到自己本機的數(shù)據(jù)目錄下就能訪問竊取的數(shù)據(jù)庫。所以 MySQL 所在的主機的安全性是最首要的問題，如果主機不安全，被攻擊者控制，那么 MySQL 的安全性也無從談起。其次就是數(shù)據(jù)目錄和數(shù)據(jù)文件的安全性，也就是權限設置問題。
從 MySQL 主站一些老的 binary 發(fā)行版來看，3.21.xx 版本中數(shù)據(jù)目錄的屬性是 775，這樣非常危險，任何本地用戶都可以讀數(shù)據(jù)目錄，所以數(shù)據(jù)庫文件很不安全。3.22.xx 版本中數(shù)據(jù)目錄的屬性是 770，這種屬性也有些危險，本地的同組用戶既能讀也能寫，所以數(shù)據(jù)文件也不安全。3.23.xx 版本數(shù)據(jù)目錄的屬性是 700，這樣就比較好，只有啟動數(shù)據(jù)庫的用戶可以讀寫數(shù)據(jù)庫文件，保證了本地數(shù)據(jù)文件的安全。
如果啟動 MySQL 數(shù)據(jù)庫的用戶是，那么象如下的目錄和文件的是安全的，請注意數(shù)據(jù)目錄及下面的屬性：
shell ls -l /usr/local/mysql
total 40
drwxrwxr-x 2 root root 4096 Feb 27 20:07 bin
drwxrwxr-x 3 root root 4096 Feb 27 20:07 include
drwxrwxr-x 2 root root 4096 Feb 27 20:07 info
drwxrwxr-x 3 root root 4096 Feb 27 20:07 lib
drwxrwxr-x 2 root root 4096 Feb 27 20:07 libexec
drwxrwxr-x 3 root root 4096 Feb 27 20:07 man
drwxrwxr-x 6 root root 4096 Feb 27 20:07 mysql-test
drwxrwxr-x 3 root root 4096 Feb 27 20:07 share
drwxrwxr-x 7 root root 4096 Feb 27 20:07 sql-bench
drwx—— 4 mysql mysql 4096 Feb 27 20:07 var
shell ls -l /usr/local/mysql/var
total 8
drwx—— 2 mysql mysql 4096 Feb 27 20:08 mysql
drwx—— 2 mysql mysql 4096 Feb 27 20:08 test
shell ls -l /usr/local/mysql/var/mysql
total 104
-rw——- 1 mysql mysql 0 Feb 27 20:08 columns_PRiv.MYD
-rw——- 1 mysql mysql 1024 Feb 27 20:08 columns_priv.MYI
-rw——- 1 mysql mysql 8778 Feb 27 20:08 columns_priv.frm
-rw——- 1 mysql mysql 302 Feb 27 20:08 db.MYD
-rw——- 1 mysql mysql 3072 Feb 27 20:08 db.MYI
-rw——- 1 mysql mysql 8982 Feb 27 20:08 db.frm
-rw——- 1 mysql mysql 0 Feb 27 20:08 func.MYD
-rw——- 1 mysql mysql 1024 Feb 27 20:08 func.MYI
-rw——- 1 mysql mysql 8641 Feb 27 20:08 func.frm
-rw——- 1 mysql mysql 0 Feb 27 20:08 host.MYD
-rw——- 1 mysql mysql 1024 Feb 27 20:08 host.MYI
-rw——- 1 mysql mysql 8958 Feb 27 20:08 host.frm
-rw——- 1 mysql mysql 0 Feb 27 20:08 tables_priv.MYD
-rw——- 1 mysql mysql 1024 Feb 27 20:08 tables_priv.MYI
-rw——- 1 mysql mysql 8877 Feb 27 20:08 tables_priv.frm
-rw——- 1 mysql mysql 428 Feb 27 20:08 user.MYD
-rw——- 1 mysql mysql 2048 Feb 27 20:08 user.MYI
-rw——- 1 mysql mysql 9148 Feb 27 20:08 user.frm
如果這些文件的屬主及屬性不是這樣，請用以下兩個命令修正之：
shell chown -R mysql.mysql /usr/local/mysql/var
shell chmod -R go-rwx /usr/local/mysql/var
用 root 用戶啟動遠程服務一直是安全大忌，因為如果服務程序出現(xiàn)問題，遠程攻擊者極有可能獲得主機的完全控制權。MySQL 從 3.23.15 版本開始時作了小小的改動，默認安裝后服務要用 mysql 用戶來啟動，不允許 root 用戶啟動。如果非要用 root 用戶來啟動，必須加上 –user=root 的參數(shù) (./safe_mysqld –user=root)。因為 MySQL 中有 LOAD DATA INFILE 和 SELECT … INTO OUTFILE 的 SQL 語句，如果是 root 用戶啟動了 MySQL 服務器，那么，數(shù)據(jù)庫用戶就擁有了 root 用戶的寫權限。不過 MySQL 還是做了一些限制的，比如 LOAD DATA INFILE 只能讀全局可讀的文件，SELECT … INTO OUTFILE 不能覆蓋已經存在的文件。
本地的日志文件也不能忽視，包括 shell 的日志和 MySQL 自己的日志。有些用戶在本地登陸或備份數(shù)據(jù)庫的時候為了圖方便，有時會在命令行參數(shù)里直接帶了數(shù)據(jù)庫的密碼，如：
shell /usr/local/mysql/bin/mysqldump -uroot -ptest test test.sql
shell /usr/local/mysql/bin/mysql -uroot -ptest
這些命令會被 shell 記錄在歷史文件里，比如 bash 會寫入用戶目錄的.bash_history 文件，如果這些文件不慎被讀，那么數(shù)據(jù)庫的密碼就會泄漏。用戶登陸數(shù)據(jù)庫后執(zhí)行的 SQL 命令也會被 MySQL 記錄在用戶目錄的.mysql_history 文件里。如果數(shù)據(jù)庫用戶用 SQL 語句修改了數(shù)據(jù)庫密碼，也會因.mysql_history 文件而泄漏。所以我們在 shell 登陸及備份的時候不要在 - p 后直接加密碼，而是在提示后再輸入數(shù)據(jù)庫密碼。
另外這兩個文件我們也應該不讓它記錄我們的操作，以防萬一。
shell rm .bash_history .mysql_history
shell ln -s /dev/null .bash_history
shell ln -s /dev/null .mysql_history
上門這兩條命令把這兩個文件鏈接到 /dev/null，那么我們的操作就不會被記錄到這兩個文件里了。
外部網絡安全
MySQL 數(shù)據(jù)庫安裝好以后，Unix 平臺的 user 表是這樣的：
mysql use mysql;
Database changed
mysql select Host,User,PassWord,Select_priv,Grant_priv from user;
+———–+——+———-+————-+————+
| Host | User | Password | Select_priv | Grant_priv |
+———–+——+———-+————-+————+
| localhost | root | | Y | Y |
| redhat | root | | Y | Y |
| localhost | | | N | N |
| redhat | | | N | N |
+———–+——+———-+————-+————+
4 rows in set (0.00 sec)
Windows 平臺的 user 表是這樣的：
mysql use mysql;
Database changed
mysql select Host,User,Password,Select_priv,Grant_priv from user;
+———–+——+———-+————-+————+
| Host | User | Password | Select_priv | Grant_priv |
+———–+——+———-+————-+————+
| localhost | root | | Y | Y |
| % | root | | Y | Y |
| localhost | | | Y | Y |
| % | | | N | N |
+———–+——+———-+————-+————+
4 rows in set (0.00 sec)
我們先來看 Unix 平臺的 user 表。其中 redhat 只是我試驗機的機器名，所以實際上 Unix 平臺的 MySQL 默認只允許本機才能連接數(shù)據(jù)庫。但是缺省 root 用戶口令是空，所以當務之急是給 root 用戶加上口令。給數(shù)據(jù)庫用戶加口令有三種方法：
1) 在 shell 提示符下用 mysqladmin 命令來改 root 用戶口令:
shell mysqladmin -uroot password test
這樣，MySQL 數(shù)據(jù)庫 root 用戶的口令就被改成 test 了。(test 只是舉例，我們實際使用的口令一定不能使用這種易猜的弱口令)
2) 用 set password 修改口令：
mysql set password for );
這時 root 用戶的口令就被改成 test 了。
3) 直接修改 user 表的 root 用戶口令：
mysql use mysql;
mysql update user set password=password(test) where user=root
“MySQL 數(shù)據(jù)庫的安全配置”的內容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業(yè)相關的知識可以關注丸趣 TV 網站，丸趣 TV 小編將為大家輸出更多高質量的實用文章！
