程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 數據庫知識 >> MYSQL數據庫 >> 關於MYSQL數據庫 >> 安全的配置和應用MySQL數據庫

安全的配置和應用MySQL數據庫

編輯:關於MYSQL數據庫
-MySQL已經成為當前網絡中使用最多的數據庫之一,特別是在Web應用上,它占據了中小型應用的絕對優勢。這一切都源於它的小巧易用、安全有效、開放式許可和多平台,更主要的是它與三大Web語言之一——PHP的完美結合。

但不幸的是,一個缺省安裝的MySQL,會因為root密碼為空及程序漏洞導致被溢出,使得安裝MySQL的服務器成為被經常攻擊的對象。更嚴重的是,被攻擊之後數據庫往往遭破壞,易造成災難性的後果。下面將進入為了保護數據而進行的保衛戰中。

環境要求

1.系統環境

有一台Red Hat Linux 9.0自定義安裝的服務器,系統安裝了GCC及一些軟件包,比如apache、PHP等。安裝完系統後的第一件事就是升級系統的軟件包。作為Web服務器,系統接受PHP腳本的請求,PHP則使用下面將要安裝的MySQL數據庫作為動態發布的接觸。

分區情況的要求和一般系統差不多,惟一不同之處在於後面建立的/chroot與/tmp要求在同一個分區上。

2.安全要求

(1)MySQL運行在一個獨立的(Chroot)環境下;

(2)MySQLd進程運行於一個獨立的用戶/用戶組下,此用戶和用戶組沒有根目錄,沒有Shell,也不能用於其它程序;

(3)修改MySQL的root賬號,並使用一個復雜的密碼;

(4)只允許本地連接MySQL,啟動MySQL時網絡連接被禁止掉;

(5)保證連接MySQL的nobody賬號登錄被禁止;

(6)刪除test數據庫。

安裝MySQL

1.安裝准備

安裝MySQL之前,按照上述安全要求需要創建一個用於啟動MySQL的用戶和組。

#groupadd MySQL

#useradd mysql -c "start mysqlds account" -d /dev/null -g MySQL -s /sbin/nologin



2.編譯和安裝

下載MySQL源代碼包:

#wget http://MySQL.he.Net/Downloads/MySQL-4.0/MySQL-4.0.16.tar.gz

解壓縮:

#tar -zxvf MySQL-4.0.16.tar.gz



一般把MySQL安裝在/usr/local/mysql下,如果有特殊要求,也可自行調整。不過這樣做意義不大,因為後面將Chrooting,到時只是使用這裡的客戶工具而已,比如mysql,mysqladmin,MySQLdump等。下面就開始編譯安裝吧。

#./configure --prefix=/usr/local/MySQL \

--with-mysqld-user=MySQL \

--with-unix-socket-path=/tmp/MySQL.sock \

--with-MySQLd-ldflags=-all-static

#make && make install

#strip /usr/local/mysql/libexec/MySQLd

#scripts/MySQL_install_db

#chown -R root /usr/local/MySQL

#chown -R mysql /usr/local/MySQL/var

#chgrp -R mysql /usr/local/MySQL



上面各步驟的具體作用在MySQL手冊裡已有介紹,惟一需要解釋、和一般步驟不同的地方在於--with-mysqld-ldflags=-all-static。因為需要用到Chroot環境,而MySQL本身連接成靜態後就無需再創建一些庫環境了。

3.配置與啟動

MySQL的配置文件需要手工選擇、拷貝幾個模板文件中的一個到/etc下,這幾個模板文件位於源文件的support-files目錄,一共有4個:small、medium、large、huge。

#cp support-files/my-medium.cnf /etc/my.cnf

#chown root:sys /etc/my.cnf

#chmod 644 /etc/my.cnf

啟動MySQL,注意使用用戶為MySQL:

#/usr/local/mysq/bin/mysqld_safe --user=MySQL &

4.測試

為了測試安裝的程序是否正確及MySQL是否已經正常啟動,最好的辦法就是用MySQL客戶端來連接數據庫。

#/usr/local/mysql/bin/MySQL

[root@FTP bin]# MySQL

Welcome to the MySQL monitor. Commands end with ; or \g.

Your MySQL connection id is 687 to server version: 3.23.58

Type help; or \h for help. Type \c to clear the buffer.

MySQL>

MySQL> show databases;

+--------------+

  Database  

+--------------+

  MySQL  

  test  

+--------------+

2 rows in set (0.00 sec)

MySQL>quit



連接成功,可以關閉數據庫:

#/usr/local/mysql/bin/MySQLadmin -uroot shutdown



如果連接失敗則需要仔細分析出錯原因:

#more /usr/local/MySQL/var/`hostname`.err



Chrooting

1.Chrooting環境

Chroot是Unix/類Unix的一種手段,它的建立會將其與主系統幾乎完全隔離。也就是說,一旦遭到什麼問題,也不會危及到正在運行的主系統。這是一個非常有效的辦法,特別是在配置網絡服務程序的時候。

2.Chroot的准備工作

首先,應當建立如圖1示目錄結構:

#mkdir -p /chroot/MySQL/dev

#mkdir -p /chroot/MySQL/etc

#mkdir -p /chroot/MySQL/tmp

#mkdir -p /chroot/MySQL/var/tmp

#mkdir -p /chroot/mysql/usr/local/MySQL/libexec

#mkdir -p /chroot/mysql/usr/local/mysql/share/MySQL/english

然後設定目錄權限:

#chown -R root:sys /chroot/MySQL

#chmod -R 755 /chroot/MySQL

#chmod 1777 /chroot/MySQL/tmp



3.拷貝MySQL下的程序和文件到chroot下

#cp -p /usr/local/mysql/libexec/mysqld /chroot/mysql/usr/local/MySQL/libexec/

#cp -p /usr/local/mysql/share/MySQL/english/errmsg.sys

/chroot/mysql/usr/local/mysql/share/MySQL/english/

#cp -p /etc/hosts /chroot/MySQL/etc/

#cp -p /etc/host.conf /chroot/MySQL/etc/

#cp -p /etc/resolv.conf /chroot/MySQL/etc/

#cp -p /etc/group /chroot/MySQL/etc/

#cp -p /etc/passwd /chroot/MySQL/etc/passwd

#cp -p /etc/my.cnf /chroot/MySQL/etc/



4.編輯chroot下的passwd文件和group文件

#vi /chroot/etc/passwd



如上命令打開passwd文件,請刪除除了MySQL、root、sys的所有行。

#vi /chroot/etc/group



如上命令打開group文件,請刪除除了MySQL、root的所有行。

5.創建特殊的設備文件/dev/null

參照系統的樣子做即可:

#ls -al /dev/null

crw-rw-rw- 1 root root 1, 3 Jan 30 2003 /dev/null

#mknod /chroot/MySQL/dev/null c 1 3

#chown root:root /chroot/MySQL/dev/null

#chmod 666 /chroot/MySQL/dev/null



6.拷貝MySQL的數據庫文件到chroot下

#cp -R /usr/local/mysql/var/ /chroot/mysql/usr/local/MySQL/var

#chown -R mysql:mysql /chroot/mysql/usr/local/MySQL/var



7.安裝chrootuid程序

下載chrootuid,然後RPM安裝即可。

http://rpm.pbone.Net/index.PHP3/stat/4/idpl/355932/com/chrootuid-1.3-alt2.i586.rpm.Html

8.測試Chroot環境下的MySQL配置

#chrootuid /chroot/mysql mysql /usr/local/mysql/libexec/MySQLd &

如果失敗請注意chroot目錄下面的權限問題。

9.測試連接chroot下的MySQL

#/usr/local/mysql/bin/mysql --socket=/chroot/mysql/tmp/MySQL.sock

.......

MySQL>show databases;

MySQL>create database wgh;

MySQL>quit;

#ls -al /chroot/MySQL/var/

.......

配置服務器

為了更加安全地使用MySQL,需要對MySQL的數據庫進行安全配置。由於Chroot的原因,配置文件也會有所不同。

1.關閉遠程連接

首先,應該關閉3306端口,這是MySQL的默認監聽端口。由於此處MySQL只服務於本地腳本,所以不需要遠程連接。盡管MySQL內建的安全機制很嚴格,但監聽一個TCP端口仍然是危險的行為,因為如果MySQL程序本身有問題,那麼未授權的訪問完全可以繞過MySQL的內建安全機制。關閉網絡監聽的方法很簡單,在/chroot/mysql/etc/my.cnf文件中的[MySQLd]部分,去掉#skip-networking前面的“#”即可。

關閉了網絡,本地程序如何連接MySQL數據庫呢?本地程序可以通過mysql.sock來連接,速度比網絡連接更快。後文將提到關於MySQL.sock的具體情況。

MySQL的備份通常使用SSH來執行。

2.禁止MySQL導入本地文件

下面將禁止MySQL中用“LOAD DATA LOCAL INFILE”命令。這個命令會利用MySQL把本地文件讀到數據庫中,然後用戶就可以非法獲取敏感信息了。

為了禁止上述命令,在/chroot/mysql/etc/my.cnf文件的[MySQLd]部分加入下面語句:

set-variable=local-infile=0



為了管理方便,一般在系統中的MySQL管理命令如mysql、mysqladmin、mysqldump等,使用的都是系統的/etc/my.cnf文件。如果要連接,它會尋找/tmp/mysql.sock文件來試圖連接MySQL服務器,但是這裡要連接的是chroot下的MySQL服務器。解決辦法有兩個:一個是在管理命令後面加入--socket=/chroot/mysql/tmp/MySQL.sock。例如:

#/usr/local/mysql/bin/mysql -root -p --socket=/chroot/mysql/tmp/MySQL.sock



另一個就是在/etc/my.cnf的[clIEnt]部分加入socket=/chroot/mysql/tmp/MySQL.sock。顯然,第二種方法方便多了。

3.修改MySQL的root用戶ID和密碼

#chrootuid /chroot/mysql mysql /usr/local/mysql/libexec/MySQLd &

#/usr/local/mysql/bin/MySQL -uroot

.......

MySQL>SET PASSWORD FOR root@localhost=PASSWORD(new_passWord);



要盡量養成在MySQL下輸入密碼的習慣,因為Shell下面輸入的時候可能會被其它人看見。

mysql>use MySQL;

MySQL>update user set user="wghgreat" where user="root";

MySQL>select Host,User,PassWord,Select_priv,Grant_priv from user;

MySQL>delete from user where user=;

MySQL>delete from user where passWord=;

MySQL>delete from user where host=%;

MySQL>drop database test;



修改為一個不容易猜的ID:

MySQL>flush privileges;

MySQL>quit;



4.刪除歷史命令記錄

這些歷史文件包括~/.bash_history、~/.MySQL_history等。如果打開它們,你會大吃一驚,怎麼居然有一些明文的密碼在這裡?!

#cat /dev/null > ~/.bash_history

#cat /dev/null > ~/.MySQL_history



PHP和MySQL通信

默認情況下,PHP會通過/tmp/mysql.sock來和MySQL通信,但這裡的一個大問題是MySQL生成的根本不是它,而是/chroot/mysql/tmp/MySQL.sock。解決的辦法就是做一個連接:

#ln /chroot/mysql/tmp/mysql.sock /tmp/MySQL.sock



注意:由於hard links不能在文件系統的分區之間做,所以該處的連接必須位於同一分區內部。

自啟動配置

自啟動配置前先提示一點,用於PHP的數據庫需要用一個新建的賬號,其上有數據庫權限設置,比如FILE、GRANT、ACTER、SHOW DATABASE、RELOAD、SHUTDOWN、PROCESS、SUPER等。

自啟動腳本示例:

#!/bin/sh

CHROOT_MYSQL=/chroot/MySQL

SOCKET=/tmp/MySQL.sock

MYSQLD=/usr/local/mysql/libexec/MySQLd

PIDFILE=/usr/local/MySQL/var/`hostname`.pid

CHROOTUID=/usr/bin/chrootuid

echo -n " MySQL"

case "$1" in

start)

rm -rf ${SOCKET}

nohup ${CHROOTUID} ${CHROOT_MYSQL} mysql ${MySQLD} >/dev/null 2>&1 &

sleep 5 && ln ${CHROOT_MySQL}/${SOCKET} ${SOCKET}

;;

stop)

kill `cat ${CHROOT_MySQL}/${PIDFILE}`

rm -rf ${CHROOT_MySQL}/${SOCKET}

;;

*)

echo ""

echo "Usage: `basename $0` {start stop}" >&2

exit 64

;;

esac

exit 0



文件位於/etc/rc.d/init.d下,名為MySQLd,注意要可執行。

#chmod +x /etc/rc.d/init.d/MySQLd

#ln -s /etc/rc.d/init.d/mysql /etc/rc3.d/S90MySQL

#ln -s /etc/rc.d/init.d/mysql /etc/rc0.d/K20MySQL

盡管不能做到100%的安全,但是這些措施可以保護我們的系統更加安全。

  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved