Mysql数据库的安全性问题释疑（2）
发布时间：2009-02-26 16:20:00
不要使用Unix的root用户运行MySQL守护进程
不要作为Unix的root用户运行MySQL守护进程。mysqld能以任何用户运行，你也可以创造一个新的Unix用户mysql使一切更安全。如果你作为其它Unix用户运行mysqld，你不需要改变在user表中的root用户名，因为MySQL用户名与Unix 用户名没关系。
你可以作为其它Unix用户编辑mysql.server启动脚本mysqld。或者使用选项文件。有关如何用非root用户启动MySQL服务器的细节，请见第二章。
数据库目录的安全
MySQL服务器提供了一个通过mysql数据库中的授权表，实现了一个十分灵活的权限系统，保证了从网络访问数据的安全性。但是，如果服务器主机上的其它用户拥有对服务器目录的直接访问权，那么你的服务器的数据仍旧是不安全的。
一般你可能用一个非特权的Unix用户执行守护程序。检查那个运行mysqld的Unix用户是唯一的在数据库目录下有读/写权限的用户。
可能的安全漏洞
显然，你不会让服务器主机上的其它用户拥有对数据库目录文件的写访问权，但是，仅仅是读访问权也非常危险。
由于象GRANT和SET PASSWORD这样的查询都被记录到日志中去了，常规和更新日志文件包含了有关密码的敏感查询文本。如果一个攻具有对这些日志的读访问权，那么他只要在日志文件中查找GRANT或PASSWORD这样的敏感单词，就很容易找到密码的明文。
对于表文件的读访问也是很危险的，窃取文件并使MySQL以及以纯文本的形式显示表的内容是微不足道的事。可以按下列步骤进行：
1、安装一个新的MySQL分发，可以是在另一台主机上，也可以就在当前的服务器主机上安装，使用与正式服务器不同的端口、套接字和数据文件。
2、将窃取的表的相应文件拷贝到新服务数据库目录中的test目录下
3、然后就可以启动作案服务器，可以随意访问所窃取表的内容。
0
投稿猜你喜欢
Instr函数与InstrRev函数大家都应该很熟悉，但是如果你看过《ASP * 站开发实践教程》，你应该注意一下。该书中介绍它们时是很有迷- 导入相关库import time1. 时间戳1.1 time.time()time.time()可以得到的是 时间戳 。即 1970年1月1
- 别人复制你网站的文章时自动加上注释，这个功能你在很多网站应该都有体会过，当我们复制一段内容时，就自动在文章后面加上了网站的一些
- 一、用户管理在mysql库里有个user表可以查看已经创建的用户1.创建MySQL用户注意：MySQL中不能单纯通过用户名来说明用户，必须要
- php开启openssl的方法，大多数情况下openssl是没有开启的，要想启用需要进行下简单的设置windows下开启方法：1： 首先检查
- 1.下载egit插件打开Eclipse，git需要eclipse授权，通过网页是无法下载egit的安装包的。在菜单栏依次打开eclipse→
- 记一次从web到内网的渗透拓扑图环境介绍现在有三台机器，分别为target1，target2，target3，里面分别有三个flag，每个f
- 1.首先读取Excel文件数据代表了各个城市店铺的装修和配置费用，要统计出装修和配置项的总费用并进行加和计算；2.pandas实现过程imp
- 使用Tkinter(py2.7)text文本框中输入内容在界面中显示–较为规整的代码：import Tkinter as tkclass W
- 写在前面：从昨晚的梦里回忆起数据管理的作业：实现一个自己的选题----毕业生信息管理系统，实现学生个人信息基本的增删改查，我想了想前段时间刚
- Python中打开文本使用的是with语句，比如打开一个文件并读取每一行with open(filename) as fp: f
- 一. meta方法打包好的入口index.html头部加入<META HTTP-EQUIV="pragma" CO
- 获得当前机器的名字：def hostname(): sy
- AXObject可用来解决IE需要激活 ActiveX 控件和生成控件调用代码 AXObjec
- 项目中要对短文本进行相似度估计，word2vec是一个很火的工具。本文就word2vec的训练以及加载进行了总结。word2vec的原理就不
- 相同点都属于序列类型的数据所谓序列类型的数据，就是说它的每一个元素都可以通过指定一个编号，行话叫做“偏移量”的方式得到，而要想一次得到多个元
- DTD实际上可以看作一个或多个XML文件的模板，这些XML文件中的元素、元素的属性、元素的排列方式/顺序、元素能够包含的内容等，都必须符合D
- 当我们使用访问一个没有声明的变量时，JS会报错；而当我们给一个没有声明的变量赋值时，JS不会报错误，相反它会认为我们是要隐式申明一个全局变量
- 在日常Java后端开发过程中，免不了对数据字段的解析，自然就少不了对字符串的操作，这其中就包含了正则表达式这一块的内容，这里面涉及Java包
- python-opencv3.0新增了一些比较有用的 * 算法,这里根据官网示例写了一个 * 类程序只能运行在安装有opencv3.0以上版
