Mengamankan Pemasangan dan Konfigurasi Lalai MySQL

Mengubah kata laluan akar lalai, memadam pengguna tanpa nama, mengharamkan log masuk akar jauh, mengeluarkan pangkalan data ujian, dan menyekat pelabuhan akses adalah langkah utama dalam pengerasan keselamatan MySQL. Pertama, anda harus menggunakan arahan Pengguna ALTER untuk menetapkan kata laluan yang kuat dan elakkan menggunakan akaun Root untuk menyambung ke aplikasi; Kedua, anda harus memadamkan pengguna '@' localhost 'dan' '@' your_hostname 'tanpa nama pengguna; Kemudian periksa dan padamkan akaun 'root'@'%' yang membolehkan log masuk jauh, atau buat akaun khusus terhad; Kemudian padamkan pangkalan data ujian yang tidak perlu dan data lain yang tidak relevan; Akhirnya mengehadkan akses port 3306 melalui alat firewall, atau tetapkan alamat bind kepada 127.0.0.1 dalam fail konfigurasi untuk mengelakkan akses luaran.

Pemasangan dan konfigurasi lalai MySQL sering menimbulkan beberapa risiko keselamatan apabila ia mula -mula digunakan, terutamanya jika ia secara langsung terdedah kepada rangkaian awam atau salah beroperasi oleh kakitangan dalaman. Artikel ini terus ke topik: Cara menangani isu -isu keselamatan konfigurasi lalai MySQL.

Ubah suai kata laluan root lalai

Selepas MySQL dipasang, kata laluan pengguna akar lalai mungkin kosong, dijana secara rawak, atau ditetapkan sementara. Dalam kedua -dua kes, perkara pertama ialah menukar kata laluan root lalai .

• Jika ia adalah MySQL yang baru dipasang, anda mungkin diminta untuk menetapkan kata laluan semasa log masuk untuk kali pertama;
• Sekiranya anda telah berjalan sebentar tetapi belum menukar kata laluan anda, anda boleh menggunakan perintah ALTER USER untuk mengubah suai:

   Mengubah pengguna 'root'@'localhost' yang dikenal pasti oleh 'kata laluan kuat anda';

Adalah disyorkan untuk menggunakan strategi kata laluan yang kuat, seperti mengandungi huruf, nombor dan aksara khas, dan panjangnya tidak kurang daripada 12 digit. Pada masa yang sama, jangan gunakan akaun root untuk sambungan aplikasi harian.

Padam atau Lumpuhkan Pengguna Tanpa Nama

MySQL boleh membenarkan akses tanpa nama secara lalai, iaitu, anda boleh log masuk ke pangkalan data tanpa menggunakan nama pengguna dan kata laluan. Fungsi ini tidak diperlukan untuk kebanyakan persekitaran pengeluaran, melainkan bahaya keselamatan.

Anda boleh menggunakan arahan berikut untuk memeriksa sama ada pengguna tanpa nama wujud:

 Pilih pengguna, hos dari mysql.user di mana user = '';

Jika ada, padamkannya:

 Drop user ''@'localhost';
Drop user ''@'your_hostname';

your_hostname di sini adalah nama hos pelayan, yang boleh dilihat melalui perintah hostname .

Lumpuhkan log masuk akar jauh

Secara lalai, pengguna root hanya boleh log masuk dari localhost. Jika anda tidak membuat apa -apa perubahan, ini sebenarnya adalah kelebihan keselamatan. Tetapi kadang -kadang, demi kemudahan debugging, seseorang akan menambah root@% secara manual atau keizinan akses jauh lain, yang sangat meningkatkan risiko diserang.

Semak sama ada log masuk akar jauh dibenarkan:

 Pilih pengguna, hos dari mysql.user di mana user = 'root';

Jika anda melihat rekod seperti 'root'@'%' , ini bermakna bahawa akar boleh dilog masuk dari mana -mana IP. Adalah disyorkan untuk memadamkannya:

 Drop pengguna 'root'@'%';

Jika anda memerlukan pengurusan jauh, anda boleh membuat akaun khusus dan mengehadkan julat IP yang diakses dan bukannya membuka akar secara langsung.

Keluarkan pangkalan data ujian dan data yang tidak berkaitan

Selepas MySQL dipasang, ia biasanya dilengkapi dengan pangkalan data yang dipanggil test , yang boleh diakses oleh sesiapa sahaja, walaupun ia tidak diberi kuasa. Ini benar -benar berlebihan untuk perkhidmatan yang baru dilancarkan.

Padam pangkalan data ujian:

 Ujian pangkalan data drop;

Pada masa yang sama, anda juga mesti membersihkan pangkalan data dan jadual yang wujud secara lalai tetapi anda tidak akan menggunakannya. Pembersih sistem, semakin kecil kemungkinannya menghadapi masalah.

Di samping itu, periksa peruntukan keizinan global untuk memastikan tiada kebenaran yang tidak perlu diberikan kepada pengguna biasa, seperti kebenaran yang luas seperti GRANT ALL PRIVILEGES .

Hidupkan firewall dan hadkan akses ke pelabuhan

MySQL mendengar port 3306 secara lalai. Jika anda mendedahkannya ke rangkaian awam tanpa mengambil langkah perlindungan, ia seperti pintu terbuka untuk mengalu -alukan orang asing untuk masuk dan duduk.

• Gunakan alat firewall (seperti iptables, UFW, atau kumpulan keselamatan platform awan) untuk membolehkan hanya segmen IP tertentu untuk mengakses 3306;
• Jika ia hanya digunakan secara asli, ia boleh terikat kepada 127.0.0.1;
• Tetapkan dalam fail konfigurasi my.cnf atau my.ini :

   Bind-Address = 127.0.0.1

Dengan cara ini, rangkaian luaran tidak dapat mengakses pangkalan data secara langsung.

Pada dasarnya itu sahaja. Walaupun ini semua operasi asas, ramai orang hanya mengabaikan bahaya tersembunyi yang dibawa oleh tetapan "lalai" ini. Hanya mengambil sedikit masa untuk memeriksa dan menyesuaikan diri, banyak isu keselamatan berikutnya boleh dielakkan.

Atas ialah kandungan terperinci Mengamankan Pemasangan dan Konfigurasi Lalai MySQL. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!