正在阅读：MySQL安全性指南MySQL安全性指南

2004-04-01 13:26 出处：PConline 作者：晏子责任编辑：pjl

·服务器在host表中查找有与来自db表的记录相同的Db列值。如果没有host记录匹配客户主机，则没有授予数据库级权限。如果这些记录的任何一个的确有一个匹配连接的客户主机的Host列值，db表记录和host表记录结合产生客户的数据库级权限。然而，权限用一个逻辑AND（与）结合起来，这意味着除非一个给定的权限在两个表中都有，否则客户就不具备该权限。以这种方式，你可以在db表中授予一个基本的权限集，然后使用host表对特定的主机有选择地禁用它们。如你可以允许从你的域中的兄骰梦适菘猓乇樟四切┰诮喜话踩虻闹骰氖菘馊ㄏ蕖? 前面的描述毫无疑问使访问检查听起来一个相当复杂的过程，特别是你以为服务器对你发出的每个查询进行权限检查，然而此过程是很快的，因为服务器其实不从授权表对每个查询查找信息，相反，它在启动时将表的内容读入内存，然后验证查询用的是内存中的副本。这大大提高了访问检查操作的性能。但有一个非常明显的副作用。如果你直接修改授权表内容，服务器将不知道权限的改变。例如，如果你用一条INSERT语句向user表加入一个新记录来增加一个新用户，命名在记录中的用户将不能连接服务器。这对管理员新手（有时对有经验的老手）是很困惑的事情，当时解决方法很简单：在你改变了它们之后告诉服务器重载授权表内容，你可以发一条FLUSH PRIVILEGES或执行mysqladmin flush-privileges（或如果你有一个不支持flush-privileges的老版本，用mysqladmin reload。）。 2.2.3 范围列匹配顺序 MySQL服务器按一种特定方式排序符授权表中的记录，然后通过按序浏览记录匹配到来的连接。找到的第一个匹配决定了被使用的记录。理解MySQL使用的排序顺序很重要，特别是对user表。当服务器读取user表内容时，它根据在Host和User列中的值排序记录，Host值起决定作用（相同的Host值排在一起，然后再根据User值排序）。然而，排序不是典序（按词排序），它只是部分是。要牢记的是字面上的词优先于模式。这意味着如果你正从client.your.net连接服务器而Host有client.your.net和%.your.net两个值，则第一个先选。类似地，%.your.net优先于%.net，然后是%。IP地址的匹配也是这样的。总之一句话，越具体越优先。可以参见本文附录的实例。 2.3 避免授权表风险本届介绍一些在你授权时的一些预防措施，以及不明值的选择带来的风险。一般地，你要很“吝啬”地授予超级用户权限，即不要启用user表中条目中的权限，而使用其它授权表，以将用户权限限制于数据库、表、或列。在user表中的权限允许于影响到你的服务器操作或能访问任何数据库中的任何表。不要授予对mysql数据库的权限。一个拥有包含授权表数据库权限的用户可能会修改表以获取对其他任何数据库的权限。授予允许一个用户修改mysql数据库表的权限也实际上给了用户以一个全局GRANT权限。如果用户能直接修改表，这也等价于能够发出任何你能想象的任何GRANT语句。 FILE权限尤其危险，不要轻易授权它。以下是一个拥有FILE权限的人能干除的事情： CREATE TABLE etc_passwd (pwd_entry TEXT); LOAD DATA INFILE "/etc/passwd" into TABLE etc_passwd; SELECT * FROM etc_passwd; 在发出这些语句后，用户已经拥有了你的口令文件的内容了。实际上，服务器上任何公开可读文件的内容都可被拥有FILE权限的用户通过网络访问。 FILE权限也能被利用来危害没有设置足够权限制的文件权限的系统上的数据库。这就是你为什么应该设置数据目录只能由服务器读取的原因。如果对应于数据库表的文件可被任何人读取，不只是用户服务器账号的用户可读，任何有FILE权限的用户也可通过网络连接并读取它们。下面演示这个过程： ·创建一个有一个LONGBLOB列的表： USER test; CREATE TABLE tmp (b LONGBLOB); ·使用该表读取每个对应于你想偷取的数据库表文件的内容，然后将表内容写入你自己数据库的一个文件中： LOAD DATA INFILE "./other_db/x.frm" INTO TABLE tmp FIELDS ESCAPED BY "" LINES TERMINATED BY ""; SELECT * FROM tmp INTO OUTFILE "y.frm" FIELDS ESCAPED BY "" LINES TERMINATED BY ""; DELETE FROM tmp; LOAD DATA INFILE "./other_db/x.ISD" INTO TABLE tmp FIELDS ESCAPED BY "" LINES TERMINATED BY ""; SELECT * FROM tmp INTO OUTFILE "y.ISD" FIELDS ESCAPED BY "" LINES TERMINATED BY ""; DELETE FROM tmp; LOAD DATA INFILE "./other_db/x.ISM" INTO TABLE tmp FIELDS ESCAPED BY "" LINES TERMINATED BY ""; SELECT * FROM tmp INTO OUTFILE "y.ISM" ·现在你拥有了一个新表y，它包含other_db.x的内容并且你有全权访问它。为避免让人以同样的方式攻击，根据“第一部分内部安全性-保护你的数据目录”中的指令设置你的数据目录上的权限。你也可以在你启动服务器时使用--skip-show-database选项限制用户对于他们没用访问权限的数据库使用SHOW DATABASES和SHOW TABLES。这有助于防止用户找到关于它们不能访问的数据库和表的信息。 ALTER权限能以不希望的方式使用。假定你想让user1可以访问table1但不能访问tables2。一个拥有ALTER权限的用户可以通过使用ALTER TABLE将table2改名为table1来偷梁换柱。当心GRANT权限。两个由不同权限但都有GRANT权限的用户可以使彼此的权利更强大。 2.4 不用GRANT设置用户如果你有一个早于3.22.11的MySQL版本，你不能使用GRANT（或REVOKE）语句设置用户及其访问权限，但你可以直接修改授权表的内容。如果你理解GRANT语句如何修改授权表，这很容易。那么你通过手工发出INSERT语句就能自己做同样的事情。当你发出一条GRANT语句时，你指定一个用户名和主机名，可能还有口令。对该用户生成一个user表记录，并且这些值记录在User、Host和Password列中。如果你在GRANT语句中指定全局权限，这些权限记录在记录的权限列中。其中要留神的是GRANT语句为你加密口令，而INSERT不是，你需要在INSERT中使用PASSWORD()函数加密口令。如果你指定数据库级权限，用户名和主机名被记录在db表的User和Host列。你为其授权的数据库记录在Db列中，你授予的权限记录在权限列中。对于表级和列级权限，效果是类似的。在tables_priv和columns_priv表中创建记录以记录用户名、主机名和数据库，还有相关的表和列。授予的权限记录在权限列中。如果你还记得前面的介绍，你应该能即使不用GRANT语句也能做GRANT做的事情。记住在你直接修改授权表时，你将通知服务器重载授权表，否则他不知道你的改变。你可以执行一个mysqladmin flush-privileges或mysqladmin reload命令强迫一个重载。如果你忘记做这个，你会疑惑为什么服务器不做你想做的事情。下列GRANT语句创建一个拥有所有权的超级用户。包括授权给别人的能力： GRANT ALL ON *.* TO anyname@localhost IDENTIFIED BY "passwd" WITH GRANT OPTION 该语句将在user表中为anyname@localhost创建一个记录，打开所有权限，因为这里是超级用户（全局）权限存储的地方，要用INSERT语句做同样的事情，语句是： INSERT INTO user VALUES("localhost","anyname",PASSWORD("passwd"), "Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y") 你可能发现它不工作，这要看你的MySQL版本。授权表的结构已经改变而且你在你的user表可能没有14个权限列。用SHOW COLUMNS找出你的授权表包含的每个权限列，相应地调整你的INSERT语句。下列GRANT语句也创建一个拥有超级用户身份的用户，但是只有一个单个的权限： GRANT RELOAD ON *.* TO flush@localhost IDENTIFIED BY "flushpass" 本例的INSERT语句比前一个简单，它很容易列出列名并只指定一个权限列。所有其它列将设置为缺省的"N"： INSERT INTO user (Host,Password,Reload) VALUES("localhost","flush",PASSWORD("flushpass"),"Y") 数据库级权限用一个ON db_name.*子句而不是ON *.*进行授权： GRANT ALL ON sample.* TO boris@localhost IDENTIFIED BY "ruby" 这些权限不是全局的，所以它们不存储在user表中，我们仍然需要在user表中创建一条记录（使得用户能连接），但我们也需要创建一个db表记录记录数据库集权限： INSERT INTO user (Host,User,Password) VALUES("localhost","boris",PASSWORD("ruby")) INSERT INTO db VALUES("localhost","sample_db","boris","Y","Y","Y","Y","Y","Y","N","Y","Y","Y")