【中培课堂】14种有效保障 MySQL安全的方法

MySQL 数据库一贯以高性能、高可性和易用性著称，它已经成为世界上最流行的开源数据库。

但有的企业在安装MySQL时用的是默认选项，由此造成其数据不安全，且服务器也面临被入侵的风险，并有可能在短时间内就出现性能问题。为此，中培伟业《SOL Server2014 高级管理与性能调优》专家臧老师也精通MySQL的安全防护，他在这里介绍了14种有效保障MySQL安全的方法：

（1）避免从互联网访问MySQL数据库，确保特定主机才拥有访问特权

直接通过本地网络之外的计算机改变生产环境中的数据库是异常危险的。所以，把重要的操作限制给特定主机非常重要问。

（2）定期备份数据库

任何系统都有可能发生灾难。服务器、MySQL也会崩溃，也有可能遭受入侵，数据有可能被删除。只有为最糟糕的情况做好了充分的准备，才能够在事后快速地从灾难中恢复。企业最好把备份过程作为服务器的一项日常工作。

（3）禁用或限制远程访问

前面说过，如果使用了远程访问，要确保只有定义的主机才可以访问服务器。这一般是通过TCP wrappers、iptables或任何其它的防火墙软件或硬件实现的。

（4）设置root用户的口令并改变其登录名

在linux中，root用户拥有对所有数据库的完全访问权。因而，在Linux的安装过程中，一定要设置root口令。当然，要改变默认的空口令，其方法如下。

（5）移除测试(test)数据库

在默认安装的MySQL中，匿名用户可以访问test数据库。我们可以移除任何无用的数据库，以避免在不可预料的情况下访问了数据库。

（6）禁用LOCAL INFILE

另一项改变是禁用”LOAD DATA LOCAL INFILE”命令，这有助于防止非授权用户访问本地文件。在PHP应用程序中发现有新的SQL注入漏洞时，这样做尤其重要。

（7）移除匿名账户和废弃的账户

有些MySQL数据库的匿名用户的口令为空。因而，任何人都可以连接到这些数据库。

（8）降低系统特权

常见的数据库安全建议都有“降低给各方的特权”这一说法。对于MySQL也是如此。一般情况下，开发人员会使用最大的许可，不像安全管理一样考虑许可原则，而这样做会将数据库暴露在巨大的风险中。

为保护数据库，务必保证真正存储MySQL数据库的文件目录是由”mysql” 用户和” mysql”组所拥有的。

此外，还要确保仅有用户”mysql”和root用户可以访问/var/lib/mysql目录。Mysql的二进制文件存在于/usr/bin/目录中，它应当由root用户或特定的”mysql”用户所拥有。对这些文件，其它用户不应当拥有“写”的访问权：

（9）降低用户的数据库特权

有些应用程序是通过一个特定数据库表的用户名和口令连接到MySQL的，安全人员不应当给予这个用户完全的访问权。如果攻击者获得了这个拥有完全访问权的用户，他也就拥有了所有的数据库。查看一个用户许可的方法是在MySQL控制台中使用命令SHOW GRANT。

（10）移除和禁用.mysql_history文件

在用户访问MySQL控制台时，所有的命令历史都被记录在~/.mysql_history中。如果攻击者访问这个文件，他就可以知道数据库的结构。

（11）安全补丁

务必保持数据库为最新版本。因为攻击者可以利用上一个版本的已知漏洞来访问企业的数据库。

（12）启用日志

如果你的数据库服务器并不执行任何查询，建议你启用跟踪记录。对于生产环境中任务繁重的MySQL数据库，因为这会引起服务器的高昂成本。此外，还要保证只有root和mysql可以访问这些日志文件。

（13）改变root目录

Unix操作系统中的chroot可以改变当前正在运行的进程及其子进程的root目录。重新获得另一个目录root权限的程序无法访问或命名此目录之外的文件，此目录被称为“chroot监狱”。

通过利用chroot环境，你可以限制MySQL进程及其子进程的写操作，增加服务器的安全性。你要保证chroot环境的一个专用目录，如/chroot/mysql。此外，为了方便利用数据库的管理工具，你可以在MySQL配置文件的[client]部分改变相关参数。

（14）禁用LOCAL INFILE命令

LOAD DATA LOCAL INFILE可以从文件系统中读取文件，并显示在屏幕中或保存在数据库中。如果攻击者能够从应用程序找到SQL注入漏洞，这个命令就相当危险了。