跳转到路径导航栏
跳转到正文内容

MySQL数据库的安全配置(7)

http://www.sina.com.cn  2008年12月29日 18:14  比特网ChinaByte

  给用户创建权限还可以通过直接修改授权表:

  mysql> insert into user values("localhost","test",password("test"),"Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y","Y");

  mysql> flush privileges;

  这两句和上面第一句grant的效果是一样的,也是增加了一个本地的test超级用户。我们看到用grant方便多了,而且还不需flush privileges。

  mysql> insert into user (host,user,password) values("192.168.1.0/255.255.255.0","test1",PASSWORD("test"));

  mysql> insert into db values("192.168.1.0/255.255.255.0","test","test1","Y","Y","Y","Y","Y","Y","N","N","N","N")

  mysql> flush privileges;

  这三句和上面第二句grant的效果也是一样的,也是增加了一个只能从C类子网192.168.1连接,对test库有select,insert,update,delete,create,drop操作权限的test1用户,口令是test。

  要取消一个用户的权限,使用revoke语句。revoke的语法非常类似于grant语句,除了to用from取代并且没有identified by和with grant option子句,下面是用revoke删除用户权限的例子:

  mysql> revoke all on test.* from test1@'192.168.1.0/255.255.255.0';

  这句revoke就撤消了上面第二句grant创建的权限,但是test1用户并没有被删除,必须手工从user表删除:

  mysql> delete from user where user='test1';

  mysql> flush privileges;

  这样,test1用户就彻底删除了。

  这些只是MySQL授权表的简单使用,更多详细的资料请见MySQL提供的手册。

  3、编程需要注意的一些问题

  不管是用哪种程序语言写连接MySQL数据库的程序,有一条准则是永远不要相信用户提交的数据!

  对于数字字段,我们要使用查询语句:SELECT * FROM table WHERE ID='234',不要使用SELECT * FROM table WHERE ID=234这样的查询语句。MySQL会自动把字串转换为数字字符并且去除非数字字符。如果用户提交的数据经过了mysql_escape_string处理,这样我们就可以完全杜绝了sql inject攻击,关于sql inject攻击请参考下面链接的文章:

  http://www.spidynamics.com/papers/SQLInjectionWhitePaper.pdf

  http://www.ngssoftware.com/papers/advanced_sql_injection.pdf

  各种编程语言该注意的问题:

  1)所有Web程序:

  a)尝试在Web表单输入单引号和双引号来测试可能出现的错误,并找出原因所在。

  b)修改URL参数带的%22 ('"'), %23 ('#'), 和 %27 (''')。

  c)对于数字字段的变量,我们的应用程序必须进行严格的检查,否则是非常危险的。

  d)检查用户提交的数据是否超过字段的长度。

  e)不要给自己程序连接数据库的用户过多的访问权限。

  2)PHP:

  a)检查用户提交的数据在查询之前是否经过addslashes处理,在PHP 4.0.3以后提供了基于MySQL C API的函数mysql_escape_string()。

  3)MySQL C API:

  a)检查查询字串是否用了mysql_escape_string() API调用。

  4)MySQL++:

  a)检查查询字串是否用了escape和quote处理。

  5)Perl DBI:

  a)检查查询字串是否用了quote()方法。

  6)Java JDBC:

  a)检查查询字串是否用了PreparedStatement对象。

  4、一些小窍门

  1)如果不慎忘记了MySQL的root密码,我们可以在启动MySQL服务器时加上参数--skip-grant-tables来跳过授权表的验证 (./safe_mysqld --skip-grant-tables &),这样我们就可以直接登陆MySQL服务器,然后再修改root用户的口令,重启MySQL就可以用新口令登陆了。

  2)启动MySQL服务器时加--skip-show-database使一般数据库用户不能浏览其它数据库。

  3)启动MySQL服务器时加上--chroot=path参数,让mysqld守护进程运行在chroot环境中。这样SQL语句LOAD DATA INFILE和SELECT ... INTO OUTFILE就限定在chroot_path下读写文件了。这里有一点要注意,MySQL启动后会建立一个mysql.sock文件,默认是在/tmp目录下。使用了chroot后,MySQL会在chroot_path/tmp去建立mysql.sock文件,如果没有chroot_path/tmp目录或启动MySQL的用户没有这个目录写权限就不能建立mysql.sock文件,MySQL会启动失败。比如我们加了--chroot=/usr/local/mysql/启动参数,那么最好建立一个启动MySQL的用户能写的/usr/local/mysql/tmp目录,当然我们也可以用--socket=path来指定mysql.sock文件的路径,但这个path一定要在chroot_path里面。

  4)启动MySQL服务器时加上--log-slow-queries=file参数,这样mysqld会把SQL命令执行时间超过long_query_time的写入file文件。如果没有指定=file,mysqld默认会写到数据目录下的hostname-slow.log。如果只指定了filename,没有指定路径,那么mysqld也会把filename写到数据目录下。我们通过这个日志文件可以找出执行时间超长的查询语句,然后尽可能的优化它减轻MySQL服务器的负担。

  5)如果我们只需本机使用MySQL服务,那么我们还可以加上--skip-networking启动参数使MySQL不监听任何TCP/IP连接,增加安全性。(非常推荐)

  6)MySQL的更多mysqld启动选项请见MySQL手册4.16.4 mysqld Command-line Options

  References

  MySQL Manual(http://www.mysql.com/documentation/index.html)

  晏子的MySQL管理员指南(http://clyan.hongnet.com/index.html)

  Access Granted(http://www.devshed.com/Server_Side/MySQL/Access)

  //from: http://www.xfocus.net/articles/200203/368.html

上一页 1 2 3 4 5 6 7 下一页

本文相关下载

更多>> 
MySQL for Windows-开放源代码数据库 5.1.30/6.0.7 Alpha
经典的结构化查询语言(SQL)数据库。
MySQL for Linux-开放源代码数据库 5.1.30
经典的结构化查询语言(SQL)数据库。
Navicat for MySQL数据库管理工具 8.0.25
一个强大的MySQL数据库管理和开发工具。
PHP & MySQL无需编程轻松创建数据库网站 4.0
全书均配合图解和完整的实例,使读者对实际应用中的关键步骤有全面的了解。
PHPMaker-PHP代码自动生成工具 6.0.0.1
PHP代码自动生成工具。

>话题讨论查看全部评论

已有 _COUNT_位网友发表评论  
登录名: 密码: 匿名发表

Powered By Google 感动2008,留下你最想说的话!
flash

新浪简介About Sina广告服务联系我们招聘信息网站律师SINA English会员注册产品答疑┊Copyright © 1996-2008 SINA Corporation, All Rights Reserved

新浪公司 版权所有