MySQL已經(jīng)成為當前網(wǎng)絡(luò)中使用最多的數(shù)據(jù)庫之一,特別是在Web應(yīng)用上,它占據(jù)了中小型應(yīng)用的絕對優(yōu)勢。這一切都源于它的小巧易用、安全有效、開放式許可和多平臺,更主要的是它與三大Web語言之一——PHP的完美結(jié)合。
但不幸的是,一個缺省安全的MySQL,會因為root密碼為空及程序漏洞導(dǎo)致被溢出,使得安裝MySQL的服務(wù)器成為被經(jīng)常攻擊的對象。更嚴重的是,被攻擊之后數(shù)據(jù)庫往往遭破壞,易造成災(zāi)難性的后果。下面將進入為了保護數(shù)據(jù)而進行的保衛(wèi)戰(zhàn)中。
環(huán)境要求
1.系統(tǒng)環(huán)境
有一臺Red Hat Linux 9.0自定義安裝的服務(wù)器,系統(tǒng)安裝了GCC及一些軟件包,比如Apache、PHP等。安裝完系統(tǒng)后的第一件事就是升級系統(tǒng)的軟件包。作為Web服務(wù)器,系統(tǒng)接受PHP腳本的請求,PHP則使用下面將要安裝的MySQL數(shù)據(jù)庫作為動態(tài)發(fā)布的接觸。
分區(qū)情況的要求和一般系統(tǒng)差不多,惟一不同之處在于后面建立的/chroot與/tmp要求在同一個分區(qū)上。
2.安全要求
(1)MySQL運行在一個獨立的(Chroot)環(huán)境下;
(2)mysqld進程運行于一個獨立的用戶/用戶組下,此用戶和用戶組沒有根目錄,沒有Shell,也不能用于其它程序;
?。?)修改MySQL的root賬號,并使用一個復(fù)雜的密碼;
?。?)只允許本地連接MySQL,啟動MySQL時網(wǎng)絡(luò)連接被禁止掉;
?。?)保證連接MySQL的nobody賬號登錄被禁止;
?。?)刪除test數(shù)據(jù)庫。
安裝MySQL
1.安裝準備
安裝MySQL之前,按照上述安全要求需要創(chuàng)建一個用于啟動MySQL的用戶和組。
#groupadd mysql
#useradd mysql -c "start mysqld's account" -d /dev/null -g mysql -s /sbin/nologin
2.編譯和安裝
MySQL源代碼包:
#wget http://mysql.he.net/Downloads/MySQL-4.0/mysql-4.0.16.tar.gz
解壓縮:
#tar -zxvf mysql-4.0.16.tar.gz
一般把MySQL安裝在/usr/local/mysql下,如果有特殊要求,也可自行調(diào)整。不過這樣做意義不大,因為后面將Chrooting,到時只是使用這里的客戶工具而已,比如mysql,mysqladmin,mysqldump等。下面就開始編譯安裝吧。
#./configure --prefix=/usr/local/mysql \
--with-mysqld-user=mysql \
--with-unix-socket-path=/tmp/mysql.sock \
--with-mysqld-ldflags=-all-static
#make && make install
#strip /usr/local/mysql/libexec/mysqld
#scripts/mysql_install_db
#chown -R root /usr/local/mysql
#chown -R mysql /usr/local/mysql/var
#chgrp -R mysql /usr/local/mysql
上面各步驟的具體作用在MySQL手冊里已有介紹,惟一需要解釋、和一般步驟不同的地方在于--with-mysqld-ldflags=-all-static。因為需要用到Chroot環(huán)境,而MySQL本身連接成靜態(tài)后就無需再創(chuàng)建一些庫環(huán)境了。
3.配置與啟動
MySQL的配置文件需要手工選擇、拷貝幾個模板文件中的一個到/etc下,這幾個模板文件位于源文件的support-files目錄,一共有4個:small、medium、large、huge。
#cp support-files/my-medium.cnf /etc/my.cnf
#chown root:sys /etc/my.cnf
#chmod 644 /etc/my.cnf
啟動MySQL,注意使用用戶為mysql:
#/usr/local/mysq/bin/mysqld_safe --user=mysql &
4.測試
為了測試安裝的程序是否正確及MySQL是否已經(jīng)正常啟動,最好的辦法就是用MySQL客戶端來連接數(shù)據(jù)庫。
#/usr/local/mysql/bin/mysql
[root@ftp bin]# mysql
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 687 to server version: 3.23.58
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
mysql>
mysql> show databases;
+--------------+
Database
+--------------+
mysql
test
+--------------+
2 rows in set (0.00 sec)
mysql>quit
連接成功,可以關(guān)閉數(shù)據(jù)庫:
#/usr/local/mysql/bin/mysqladmin -uroot shutdown
如果連接失敗則需要仔細分析出錯原因:
#more /usr/local/mysql/var/`hostname`.err
Chrooting
1.Chrooting環(huán)境
Chroot是Unix/類Unix的一種手段,它的建立會將其與主系統(tǒng)幾乎完全隔離。也就是說,一旦遭到什么問題,也不會危及到正在運行的主系統(tǒng)。這是一個非常有效的辦法,特別是在配置網(wǎng)絡(luò)服務(wù)程序的時候。
2.Chroot的準備工作
首先,應(yīng)當建立如圖1示目錄結(jié)構(gòu):
#mkdir -p /chroot/mysql/dev
#mkdir -p /chroot/mysql/etc
#mkdir -p /chroot/mysql/tmp
#mkdir -p /chroot/mysql/var/tmp
#mkdir -p /chroot/mysql/usr/local/mysql/libexec
#mkdir -p /chroot/mysql/usr/local/mysql/share/mysql/english
?。ㄎ赐辏?br>
|
然后設(shè)定目錄權(quán)限:
#chown -R root:sys /chroot/mysql
#chmod -R 755 /chroot/mysql
#chmod 1777 /chroot/mysql/tmp
3.拷貝mysql下的程序和文件到chroot下
#cp -p /usr/local/mysql/libexec/mysqld /chroot/mysql/usr/local/mysql/libexec/
#cp -p /usr/local/mysql/share/mysql/english/errmsg.sys
/chroot/mysql/usr/local/mysql/share/mysql/english/
#cp -p /etc/hosts /chroot/mysql/etc/
#cp -p /etc/host.conf /chroot/mysql/etc/
#cp -p /etc/resolv.conf /chroot/mysql/etc/
#cp -p /etc/group /chroot/mysql/etc/
#cp -p /etc/passwd /chroot/mysql/etc/passwd
#cp -p /etc/my.cnf /chroot/mysql/etc/
4.編輯chroot下的passwd文件和group文件
#vi /chroot/etc/passwd
如上命令打開passwd文件,請刪除除了mysql、root、sys的所有行?! ?
#vi /chroot/etc/group
如上命令打開group文件,請刪除除了mysql、root的所有行。
5.創(chuàng)建特殊的設(shè)備文件/dev/null
參照系統(tǒng)的樣子做即可:
#ls -al /dev/null
crw-rw-rw- 1 root root 1, 3 Jan 30 2003 /dev/null
#mknod /chroot/mysql/dev/null c 1 3
#chown root:root /chroot/mysql/dev/null
#chmod 666 /chroot/mysql/dev/null
6.拷貝mysql的數(shù)據(jù)庫文件到chroot下
#cp -R /usr/local/mysql/var/ /chroot/mysql/usr/local/mysql/var
#chown -R mysql:mysql /chroot/mysql/usr/local/mysql/var
7.安裝chrootuid程序
chrootuid,然后RPM安裝即可。
http://rpm.pbone.net/index.php3/stat/4/idpl/355932/com/chrootuid-1.3-alt2.i586.rpm.html
8.測試Chroot環(huán)境下的MySQL配置
#chrootuid /chroot/mysql mysql /usr/local/mysql/libexec/mysqld &
如果失敗請注意chroot目錄下面的權(quán)限問題。
9.測試連接chroot下的MySQL
#/usr/local/mysql/bin/mysql --socket=/chroot/mysql/tmp/mysql.sock
.......
mysql>show databases;
mysql>create database wgh;
mysql>quit;
#ls -al /chroot/mysql/var/
.......
配置服務(wù)器
為了更加安全地使用MySQL,需要對MySQL的數(shù)據(jù)庫進行安全配置。由于Chroot的原因,配置文件也會有所不同。
1.關(guān)閉遠程連接
首先,應(yīng)該關(guān)閉3306端口,這是MySQL的默認監(jiān)聽端口。由于此處MySQL只服務(wù)于本地腳本,所以不需要遠程連接。盡管MySQL內(nèi)建的安全機制很嚴格,但監(jiān)聽一個TCP端口仍然是危險的行為,因為如果MySQL程序本身有問題,那么未授權(quán)的訪問完全可以繞過MySQL的內(nèi)建安全機制。關(guān)閉網(wǎng)絡(luò)監(jiān)聽的方法很簡單,在/chroot/mysql/etc/my.cnf文件中的[mysqld]部分,去掉#skip-networking前面的“#”即可。
關(guān)閉了網(wǎng)絡(luò),本地程序如何連接MySQL數(shù)據(jù)庫呢?本地程序可以通過mysql.sock來連接,速度比網(wǎng)絡(luò)連接更快。后文將提到關(guān)于mysql.sock的具體情況。
MySQL的備份通常使用SSH來執(zhí)行。
2.禁止MySQL導(dǎo)入本地文件
下面將禁止MySQL中用“LOAD DATA LOCAL INFILE”命令。這個命令會利用MySQL把本地文件讀到數(shù)據(jù)庫中,然后用戶就可以非法獲取敏感信息了。
為了禁止上述命令,在/chroot/mysql/etc/my.cnf文件的[mysqld]部分加入下面語句:
set-variable=local-infile=0
為了管理方便,一般在系統(tǒng)中的MySQL管理命令如mysql、mysqladmin、mysqldump等,使用的都是系統(tǒng)的/etc/my.cnf文件。如果要連接,它會尋找/tmp/mysql.sock文件來試圖連接MySQL服務(wù)器,但是這里要連接的是chroot下的MySQL服務(wù)器。解決辦法有兩個:一個是在管理命令后面加入--socket=/chroot/mysql/tmp/mysql.sock。例如:
#/usr/local/mysql/bin/mysql -root -p --socket=/chroot/mysql/tmp/mysql.sock
另一個就是在/etc/my.cnf的[client]部分加入socket=/chroot/mysql/tmp/mysql.sock。顯然,第二種方法方便多了。
3.修改MySQL的root用戶ID和密碼
#chrootuid /chroot/mysql mysql /usr/local/mysql/libexec/mysqld &
#/usr/local/mysql/bin/mysql -uroot
.......
mysql>SET PASSWORD FOR root@localhost=PASSWORD('new_password');
要盡量養(yǎng)成在mysql下輸入密碼的習(xí)慣,因為Shell下面輸入的時候可能會被其它人看見。
mysql>use mysql;
mysql>update user set user="wghgreat" where user="root";
mysql>select Host,User,Password,Select_priv,Grant_priv from user;
mysql>delete from user where user='';
mysql>delete from user where password='';
mysql>delete from user where host='%';
mysql>drop database test;
修改為一個不容易猜的ID:
mysql>flush privileges;
mysql>quit;
4.刪除歷史命令記錄
這些歷史文件包括~/.bash_history、~/.mysql_history等。如果打開它們,你會大吃一驚,怎么居然有一些明文的密碼在這里?!
#cat /dev/null > ~/.bash_history
#cat /dev/null > ~/.mysql_history
PHP和MySQL通信
默認情況下,PHP會通過/tmp/mysql.sock來和MySQL通信,但這里的一個大問題是MySQL生成的根本不是它,而是/chroot/mysql/tmp/mysql.sock。解決的辦法就是做一個連接:
#ln /chroot/mysql/tmp/mysql.sock /tmp/mysql.sock
注意:由于hard links不能在文件系統(tǒng)的分區(qū)之間做,所以該處的連接必須位于同一分區(qū)內(nèi)部。
自啟動配置
自啟動配置前先提示一點,用于PHP的數(shù)據(jù)庫需要用一個新建的賬號,其上有數(shù)據(jù)庫權(quán)限設(shè)置,比如FILE、GRANT、ACTER、SHOW DATABASE、RELOAD、SHUTDOWN、PROCESS、SUPER等。
自啟動腳本示例:
#!/bin/sh
CHROOT_MYSQL=/chroot/mysql
SOCKET=/tmp/mysql.sock
MYSQLD=/usr/local/mysql/libexec/mysqld
PIDFILE=/usr/local/mysql/var/`hostname`.pid
CHROOTUID=/usr/bin/chrootuid
echo -n " mysql"
case "$1" in
start)
rm -rf ${SOCKET}
nohup ${CHROOTUID} ${CHROOT_MYSQL} mysql ${MYSQLD} >/dev/null 2>&1 &
sleep 5 && ln ${CHROOT_MYSQL}/${SOCKET} ${SOCKET}
;;
stop)
kill `cat ${CHROOT_MYSQL}/${PIDFILE}`
rm -rf ${CHROOT_MYSQL}/${SOCKET}
;;
*)
echo ""
echo "Usage: `basename $0` {start stop}" >&2
exit 64
;;
esac
exit 0
文件位于/etc/rc.d/init.d下,名為mysqld,注意要可執(zhí)行。
#chmod +x /etc/rc.d/init.d/mysqld
#ln -s /etc/rc.d/init.d/mysql /etc/rc3.d/S90mysql
#ln -s /etc/rc.d/init.d/mysql /etc/rc0.d/K20mysql
盡管不能做到100%的安全,但是這些措施可以保護我們的系統(tǒng)更加安全。
相關(guān)頻道:
eNews
|
|