時(shí)間：2015-06-28 00:00:00 來源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)
?? MySQL已經(jīng)成為當(dāng)前網(wǎng)絡(luò)中使用最多的數(shù)據(jù)庫之一，特別是在Web應(yīng)用上，它占據(jù)了中小型應(yīng)用的絕對(duì)優(yōu)勢。這一切都源于它的小巧易用、安全有效、開放式許可和多平臺(tái)，更主要的是它與三大Web語言之一——PHP的完美結(jié)合。
?? 但不幸的是，一個(gè)缺省安裝的MySQL，會(huì)因?yàn)閞oot密碼為空及程序漏洞導(dǎo)致被溢出，使得安裝MySQL的服務(wù)器成為被經(jīng)常攻擊的對(duì)象。更嚴(yán)重的是，被攻擊之后數(shù)據(jù)庫往往遭破壞，易造成災(zāi)難性的后果。下面將進(jìn)入為了保護(hù)數(shù)據(jù)而進(jìn)行的保衛(wèi)戰(zhàn)中。
?? 環(huán)境要求
?? 1．系統(tǒng)環(huán)境
?? 有一臺(tái)Red Hat Linux 9.0自定義安裝的服務(wù)器，系統(tǒng)安裝了GCC及一些軟件包，比如Apache、PHP等。安裝完系統(tǒng)后的第一件事就是升級(jí)系統(tǒng)的軟件包。作為Web服務(wù)器，系統(tǒng)接受PHP腳本的請(qǐng)求，PHP則使用下面將要安裝的MySQL數(shù)據(jù)庫作為動(dòng)態(tài)發(fā)布的接觸。
?? 分區(qū)情況的要求和一般系統(tǒng)差不多，惟一不同之處在于后面建立的/chroot與/tmp要求在同一個(gè)分區(qū)上。
?? 2．安全要求
?? （1）MySQL運(yùn)行在一個(gè)獨(dú)立的（Chroot）環(huán)境下；
?? （2）mysqld進(jìn)程運(yùn)行于一個(gè)獨(dú)立的用戶/用戶組下，此用戶和用戶組沒有根目錄，沒有Shell，也不能用于其它程序；
?? （3）修改MySQL的root賬號(hào)，并使用一個(gè)復(fù)雜的密碼；
?? （4）只允許本地連接MySQL，啟動(dòng)MySQL時(shí)網(wǎng)絡(luò)連接被禁止掉；
?? （5）保證連接MySQL的nobody賬號(hào)登錄被禁止；
?? （6）刪除test數(shù)據(jù)庫。
?? 安裝MySQL
?? 1．安裝準(zhǔn)備
?? 安裝MySQL之前，按照上述安全要求需要?jiǎng)?chuàng)建一個(gè)用于啟動(dòng)MySQL的用戶和組。
?? #groupadd mysql#useradd mysql -c "start mysqlds account" -d /dev/null -g mysql -s /sbin/nologin
?
?? 2．編譯和安裝
?? 下載MySQL源代碼包:
?? #wget http://mysql.he.net/Downloads/MySQL-4.0/mysql-4.0.16.tar.gz
?? 解壓縮:
?? #tar -zxvf mysql-4.0.16.tar.gz
?? 一般把MySQL安裝在/usr/local/mysql下，如果有特殊要求，也可自行調(diào)整。不過這樣做意義不大，因?yàn)楹竺鎸hrooting，到時(shí)只是使用這里的客戶工具而已，比如mysql，mysqladmin，mysqldump等。下面就開始編譯安裝吧。
?? #./configure --prefix=/usr/local/mysql \ --with-mysqld-user=mysql \ --with-unix-socket-path=/tmp/mysql.sock \ --with-mysqld-ldflags=-all-static#make && make install#strip /usr/local/mysql/libexec/mysqld#scripts/mysql_install_db#chown -R root /usr/local/mysql#chown -R mysql /usr/local/mysql/var#chgrp -R mysql /usr/local/mysql
?
?? 上面各步驟的具體作用在MySQL手冊(cè)里已有介紹，惟一需要解釋、和一般步驟不同的地方在于--with-mysqld-ldflags=-all-static。因?yàn)樾枰玫紺hroot環(huán)境，而MySQL本身連接成靜態(tài)后就無需再創(chuàng)建一些庫環(huán)境了。
?? 3．配置與啟動(dòng)
?? MySQL的配置文件需要手工選擇、拷貝幾個(gè)模板文件中的一個(gè)到/etc下，這幾個(gè)模板文件位于源文件的support-files目錄，一共有4個(gè)：small、medium、large、huge。
?? #cp support-files/my-medium.cnf /etc/my.cnf#chown root:sys /etc/my.cnf#chmod 644 /etc/my.cnf
?
?? 啟動(dòng)MySQL，注意使用用戶為mysql：
?? #/usr/local/mysq/bin/mysqld_safe --user=mysql &
?
?? 4．測試
?? 為了測試安裝的程序是否正確及MySQL是否已經(jīng)正常啟動(dòng)，最好的辦法就是用MySQL客戶端來連接數(shù)據(jù)庫。
?? #/usr/local/mysql/bin/mysql[root@ftp bin]# mysqlWelcome to the MySQL monitor. Commands end with ; or \g.Your MySQL connection id is 687 to server version: 3.23.58Type help; or \h for help. Type \c to clear the buffer.mysql>mysql> show databases;+--------------+ Database +--------------+ mysql test +--------------+2 rows in set (0.00 sec)mysql>quit
?
?? 連接成功，可以關(guān)閉數(shù)據(jù)庫：
?? #/usr/local/mysql/bin/mysqladmin -uroot shutdown
?
?? 如果連接失敗則需要仔細(xì)分析出錯(cuò)原因：
?? #more /usr/local/mysql/var/`hostname`.err
?
?? Chrooting
?? 1．Chrooting環(huán)境
?? Chroot是Unix/類Unix的一種手段，它的建立會(huì)將其與主系統(tǒng)幾乎完全隔離。也就是說，一旦遭到什么問題，也不會(huì)危及到正在運(yùn)行的主系統(tǒng)。這是一個(gè)非常有效的辦法，特別是在配置網(wǎng)絡(luò)服務(wù)程序的時(shí)候。
?? 2．Chroot的準(zhǔn)備工作
?? 首先，應(yīng)當(dāng)建立如圖1示目錄結(jié)構(gòu)：
?? #mkdir -p /chroot/mysql/dev#mkdir -p /chroot/mysql/etc#mkdir -p /chroot/mysql/tmp#mkdir -p /chroot/mysql/var/tmp#mkdir -p /chroot/mysql/usr/local/mysql/libexec#mkdir -p /chroot/mysql/usr/local/mysql/share/mysql/english
?
?? 然后設(shè)定目錄權(quán)限：
?? #chown -R root:sys /chroot/mysql#chmod -R 755 /chroot/mysql#chmod 1777 /chroot/mysql/tmp
?#p#副標(biāo)題#e#
?? 3．拷貝mysql下的程序和文件到chroot下
?? #cp -p /usr/local/mysql/libexec/mysqld /chroot/mysql/usr/local/mysql/libexec/#cp -p /usr/local/mysql/share/mysql/english/errmsg.sys/chroot/mysql/usr/local/mysql/share/mysql/english/#cp -p /etc/hosts /chroot/mysql/etc/#cp -p /etc/host.conf /chroot/mysql/etc/#cp -p /etc/resolv.conf /chroot/mysql/etc/#cp -p /etc/group /chroot/mysql/etc/#cp -p /etc/passwd /chroot/mysql/etc/passwd#cp -p /etc/my.cnf /chroot/mysql/etc/
?
?? 4．編輯chroot下的passwd文件和group文件
?? #vi /chroot/etc/passwd
如上命令打開passwd文件，請(qǐng)刪除除了mysql、root、sys的所有行。
#vi /chroot/etc/group
如上命令打開group文件，請(qǐng)刪除除了mysql、root的所有行。
?
?? 5．創(chuàng)建特殊的設(shè)備文件/dev/null
?? 參照系統(tǒng)的樣子做即可：
?? #ls -al /dev/nullcrw-rw-rw- 1 root root 1, 3 Jan 30 2003 /dev/null#mknod /chroot/mysql/dev/null c 1 3#chown root:root /chroot/mysql/dev/null#chmod 666 /chroot/mysql/dev/null
?
?? 6．拷貝mysql的數(shù)據(jù)庫文件到chroot下
?? #cp -R /usr/local/mysql/var/ /chroot/mysql/usr/local/mysql/var#chown -R mysql:mysql /chroot/mysql/usr/local/mysql/var
?
?? 7．安裝chrootuid程序
?? 下載chrootuid，然后RPM安裝即可。
?? http://rpm.pbone.net/index.php3/stat/4/idpl/355932/com/chrootuid-1.3-alt2.i586.rpm.html
?? 8．測試Chroot環(huán)境下的MySQL配置
?? #chrootuid /chroot/mysql mysql /usr/local/mysql/libexec/mysqld &
?
?? 如果失敗請(qǐng)注意chroot目錄下面的權(quán)限問題。
?? 9．測試連接chroot下的MySQL
?? #/usr/local/mysql/bin/mysql --socket=/chroot/mysql/tmp/mysql.sock.......mysql>show databases;mysql>create database wgh;mysql>quit;#ls -al /chroot/mysql/var/.......
?
?? 配置服務(wù)器
?? 為了更加安全地使用MySQL，需要對(duì)MySQL的數(shù)據(jù)庫進(jìn)行安全配置。由于Chroot的原因，配置文件也會(huì)有所不同。
?? 1．關(guān)閉遠(yuǎn)程連接
?? 首先，應(yīng)該關(guān)閉3306端口，這是MySQL的默認(rèn)監(jiān)聽端口。由于此處MySQL只服務(wù)于本地腳本，所以不需要遠(yuǎn)程連接。盡管MySQL內(nèi)建的安全機(jī)制很嚴(yán)格，但監(jiān)聽一個(gè)TCP端口仍然是危險(xiǎn)的行為，因?yàn)槿绻鸐ySQL程序本身有問題，那么未授權(quán)的訪問完全可以繞過MySQL的內(nèi)建安全機(jī)制。關(guān)閉網(wǎng)絡(luò)監(jiān)聽的方法很簡單，在/chroot/mysql/etc/my.cnf文件中的[mysqld]部分，去掉#skip-networking前面的"#"即可。
?? 關(guān)閉了網(wǎng)絡(luò)，本地程序如何連接MySQL數(shù)據(jù)庫呢？本地程序可以通過mysql.sock來連接，速度比網(wǎng)絡(luò)連接更快。后文將提到關(guān)于mysql.sock的具體情況。
?? MySQL的備份通常使用SSH來執(zhí)行。
?? 2．禁止MySQL導(dǎo)入本地文件
?? 下面將禁止MySQL中用"LOAD DATA LOCAL INFILE"命令。這個(gè)命令會(huì)利用MySQL把本地文件讀到數(shù)據(jù)庫中，然后用戶就可以非法獲取敏感信息了。
?? 為了禁止上述命令，在/chroot/mysql/etc/my.cnf文件的[mysqld]部分加入下面語句：
?? set-variable=local-infile=0
?? 為了管理方便，一般在系統(tǒng)中的MySQL管理命令如mysql、mysqladmin、mysqldump等，使用的都是系統(tǒng)的/
關(guān)鍵詞標(biāo)簽：MySQL數(shù)據(jù)庫
相關(guān)閱讀
熱門文章
Xbox Game Pass
10款MySQL數(shù)據(jù)庫客戶端圖形界面管理工具推薦
MySQL常用維護(hù)管理工具
MySQL數(shù)據(jù)庫啟動(dòng)失敗1067進(jìn)程意外終止的解決辦法總結(jié)
人氣排行 10款MySQL數(shù)據(jù)庫客戶端圖形界面管理工具推薦 MySQL數(shù)據(jù)庫啟動(dòng)失敗1067進(jìn)程意外終止的解決辦法總結(jié) Mysql 1045錯(cuò)誤解決辦法 MySQL服務(wù)器進(jìn)程CPU占用100%解決辦法 MySQL導(dǎo)出導(dǎo)入命令的用例 MySQL連接字符串的實(shí)際操作步驟匯總 MySQL無法啟動(dòng)、無法停止各種解決方法總結(jié) 三種常用的MySQL建表語句