Рекомендации Защиты (MySQL и SQL Web-интерфейс)

Любой использующий mysql (или любой другой sql сервер) на компьютере, связанном с internet должен прочитать эту консультацию, чтобы избежать наиболее часто встречающихся проблем защиты.
Однако необходимо подчеркнуть важность полной защиты сервера (не просто mysql сервера) от всех типов применяемых нападений. В данной статье, к сожалению, не возможно охватить все аспекты проблем безопасности, но самые важные проблемы рассмотрены достаточно полно.

mysql использует защиту, основанную на Списках Управления Доступа (acl) для всех подключений, запросов, и других операций, которые пользователь может пытаться исполнять. Имеется также некоторая поддержка для ssl-зашифрованных подключений между клиентами mysql и серверами. Многие из концепций, обсуждаемых в этой статье, не являются специфическими для mysql и могут быть применены ко всем приложениям.

Когда mysql запущен, постарайтесь следовать этим рекомендациям:

Никому не давайте доступ (кроме администратора mysql) к таблице user в базе данных mysql. Зашифрованный пароль - реальный пароль в mysql. Если Вы знаете пароль, перечисленный в таблице user для данного пользователя, вы можете легко войти как этот пользователь, если у вас есть доступ к компьютеру, перечисленному для этой учетной записи.

Изучите систему привилегии доступа mysql. Команды grant и revoke используются для управления доступом к mysql. Не предоставляйте больших привилегий, чем это необходимо. Никогда не предоставляйте привилегии всем компьютерам в сети. Команды контрольных проверок:

1. Пробуйте mysql -u root. Если вы сможете соединиться с сервером без запроса пароля, значит у вас проблемы. Любой сможет соединиться с вашим mysql сервером как mysql root пользователь с полными привилегиями. Тщательно читайте команды инсталляции mysql, обращая внимание на опции установки пароля.

2. Используйте команды show grants и check, чтобы видеть, кто имеет доступ к какой. Удалите лишние привилегии, используя команду revoke.

Не храните пароли в виде открытого текста в вашей базе данных. Когда ваш компьютер взломан, вторгшийся может получить полный список

паролей и использовать их. Вместо этого используйте md5 алгоритм или любой другой на основе односторонней хеш-функции.

Не выбирайте пароли из словарей. Имеются специальные программы, чтобы подбирать их. Даже пароли подобно " xfish98 " являются очень плохими. Намного лучше - " "duag98", который содержит то же самое слово " рыба " но напечатанное на одну клавишу влево на клавиатуре. Другой метод состоит в том, чтобы использовать пароли типа "УМББР", который состоит из первых слов в предложении " У Мэри был большой ребенок". Такие пароли просто запомнить и напечатать, но трудно подобрать злоумышленнику.

Используйте firewall. Он защитит вас, по крайней мере, от 50% эксплуатирующихся уязвимостей в любом программном обеспечении. mysql использует 3306 порт по умолчанию. Этот порт должен быть доступен только от доверенных компьютеров. Самый простой способ проверить, является ли ваш порт mysql открытым, состоит в том, чтобы пробовать следующую команду от некоторой отдаленной машины, где server_host - имя хоста вашего mysql сервера: telnet server_host 3306

Не доверяйте никаким данным, введенными пользователями. Они могут обмануть ваш код, вводя специальные символы в web форме или url. Убедитесь, что ваше приложение остается безопасным, если пользователь вводит что-то подобно: drop database mysql;. Это - критический пример, но множество утечек защиты и потеря данных могут происходить из-за хакеров, использующих подобные методы. Также, не забудьте проверять числовые данные. Обычная ошибка должна защитить только строки. Иногда люди думают, что, если база данных содержит только публично доступные данные, она не должна защищаться. Это неправильно. По крайней мере, dos атака может быть выполнена против таких баз данных. Самый простой способ защиты от такого типа нападения состоит в том, чтобы использовать апострофы вокруг числовых констант:

select * from table where id='234'. mysql автоматически преобразовывает эту строку к числу и убирает все нечисловые символы в запросе. Проверяем:

Все web приложения:

1. Попытка вводить ‘ ‘ ‘ ‘”’ в ваших web формах. Если Вы получаете любой вид ошибки mysql, сразу же исследуйте эту проблему.

2. Попытка изменить url, добавляя %22 (‘”’), %23(‘#’), %27‘’’.

3. Попытка изменить типы данных в динамических url от числовых символов к символам, приведенных в предыдущих примерах. Ваше приложение должно быть безопасно против этого и подобных нападений.

4. Попытка вводить символы, пробелы, и специальные символы вместо чисел в числовых полях. Ваше приложение должно удалить их перед их принятием mysql, или ваше приложение должно выдать ошибку.

5. Проверьте размеры данных перед принятием их mysql.

6. Ваше приложение должно соединяться с базой данных, используя пользователя, отличного от того, которого вы используете для административных целей. Не давайте вашим приложением больше прав, чем те, в которых они реально нуждаются.

Пользователи php:

Проверьте функцию addslashes(). После php 4.0.3, доступна функция mysql_escape_string (), которая является основанной на функции с таким же именем в mysql c api.

Пользователи mysql c api:

Проверьте api запрос mysql_escape_string ().

Пользователи mysql++:

Проверьте переходы и кавычки модификаторов в потоках запросов.

Пользователи perl dbi:

Проверьте метод quote() или используйте структурный нуль (placeholders).

Пользователи java jdbc:

Используйте объект preparedstatement и placeholders.

Не передавайте незашифрованные данные по internet. Эти данные доступны для каждого, кто имеет время и способность перехватить их и использовать для собственных целей. Вместо этого, используйте зашифрованный протокол типа ssl или ssh. mysql поддерживает внутренний ssl версии 3.23.9. ssh может использоваться для создания зашифрованных туннелей.

Научитесь использовать tcpdump. В большинстве случаев, вы можете проверить, действительно ли потоки данных mysql незашифрованны, используя следующую команду:

shell> tcpdump -l -i eth0 -w - src or dst port 3306 | strings

Статьи по теме

Оптимизация и тюнинг производительности MariaDB MySQL сервера внутри Docker

Содержание: Установка и знакомство с MySQLTuner Установка MySQL Tuning Primer Script Первичная оптимизация MySQL сервера ...

2023-11-08

Работа с базами данных MySQL в ISPManager 5 + Docker

В ISPManager 5 добавлена контейнерная виртуализация Docker для использования альтернативных версий MySQL. Цитата из документации ISPManager 5: ...

2023-10-27

«Облачные» хранилища данных: в ожидании доверия

Информационные технологии активно мигрируют в сторону «облаков». Эксперты прогнозируют, что одним из главных приоритетов для CIO в ближ...

2011-11-05

ГОСТ 34.602-89. на Техническое задание по разработке web проекта

ТЕХНИЧЕСКОЕ ЗАДАНИЕ НА СОЗДАНИЕ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ Information technology. Set of standards for automated systems. Technical directions ...

2010-12-28

Orange color: теория и практика

Знаете ли Вы, чем оранжевый цвет отличается от других ? Если нет, то знайте, что разница в скорости восприятия глазом отдельных цветов ра...

2010-12-27

FAQ по MS SQL 7.0

11. Как запускать-останавливать SQL Server через командную строку? Мне это нужно для использования в скриптах.Остановка:NET STOP MSSQLSERVERили если вы...

2010-09-17

Виртуальная реализация SQL Server 2005

Ранее в материале «Разбираем “айсберг” sql server 2005» читателям предлагалось воспользоваться опубликованной в internet серией информационных...

2010-09-17

SQL Server в вопросах и ответах

В: У меня на разных компьютерах установлено два sql server 7.0. Для обмена данными между ними я использовал data transformation services (dts), чтобы импортиро�...

2010-09-17

Один из вариантов соглашения об именах объектов MS SQL Server

Помните, что имена объектов sql сервера не могут превышать 30 символов. Не используйте зарезервированные слова, специальные символы, и не н...

2010-09-17

Создание и удаление БД в MS SQL Server

В sql server'е базы данных хранятся в виде обычных файлов на диске. Как минимум на одну БД приходится таких файлов 2: *.mdf и *.ldf. В первом хранятся...

2010-09-17

Создание и удаление таблиц в MS SQL Server

Все данные в БД sql server хранятся в таблицах.Таблицы состоят из колонок, объединяющих значения одного типа, и строк - записей в таблице. В од�...

2010-09-17

Единая аутентификация Windows NT/2000 и Oracle

При использовании Windows NT/2000 как платформы для работы Oracle, и на стороне сервера и на стороне клиентов, имеется возможность использовать ед...

2010-09-17

Oracle / PHP FAQ

Что такое PHP и что необходимо иметь для работы с Oracle?PHP - рекурсивный акроним "PHP Hypertext Preprocessor". Это интерпретируемый язык программирования ...

2010-09-17

Oracle и PHP - это очень просто

ВведениеСУБД Oracle, когда против желания фирмы-изготовителя, а когда согласно – в зависимости от направления политических ветров в конкр�...

2010-09-17

Сжатие данных в целях экономии места и ускорения работы Oracle

Используйте сжатие данных таблицы для экономии места на диске и повышения производительности запросов. В большинстве систем поддержки ...

2010-09-17