שמור על מסדי הנתונים של MySQL שלך על ידי יצירת משתמשים והרשאות נפרדים

תמיד הייתי חבר לשיטות עבודה טובות, הרבה יותר אם הם עוזרים לנו לשמור על אבטחת השרתים, השירותים שלנו או פשוט המידע שלנו.

הרגל (הרגל רע) שיש למנהלים או משתמשים רבים הוא להשתמש איתו בגישה שורש עבור כל מסדי הנתונים, כלומר ... הם מתקינים אתר באמצעות WordPress CMS, וכנתוני גישה למסד הנתונים (כדי ש- WP ישתמש בשרת MySQL וישתמש ב- DB שלו) הם שמו את המשתמש לניהול שרת MySQL: root

כמו כן, הם מתקינים כל יישום אינטרנט אחר (צ'אט, הדבק, פורום וכו ') ועושים את אותו הדבר, הם תמיד משתמשים במשתמש הבסיס של MySQL ...

שְׁגִיאָה!!!

זה פשוט הרגל קטלני.

נניח שיש לנו את השירותים הבאים בשרת:

1. אתר או פורטל המשתמש בוורדפרס.
2. פורום התמיכה שלנו, שיחות וכו '... קהילה שלמה.
3. FTP המשתמש במסד נתונים של MySQL לאחסון משתמשים וסיסמאות.
4. משתמשי הדוא"ל מאוחסנים (משתמשים וסיסמאות) במסד נתונים של MySQL.
5. WebChat קטן שאנחנו מתקינים כדי לשוחח עם מישהו שאתה מכיר.

ובכולם, ב -5 השירותים אנו משתמשים במשתמש שורש MySQL כך שכל שירות ניגש ושומר את הנתונים במסד הנתונים המתאים לו.

יום בהיר אחד, כל אחד מהרבים הטרולים שם, אבל זה לא רק טרול, אלא שהוא גם שולט בכמה מעללים, פגיעות, פריצות וכו '... מחליט לעשות משהו מזיק לנו.

מצא באג ב- WebChat בו אנו משתמשים, תוך ניצול של באג זה, הוא מצליח לגשת לקבצי WebChat, כולל קובץ התצורה של WebChat, ו ... בקובץ זה, כמובן, שם המשתמש והסיסמה בהם WebChat משתמש כדי לגשת לשרת MySQL. , ונחש מה? ... האם לא יותר ולא פחות מהמשתמש בשורש!

על ידי קבלת מידע זה, בצורה פשוטה מאוד הטרול יכול:

1. מחק אותנו ו / או גנוב כל מה שקשור לאתר או לפורטל שיש לנו (WordPress).
2. באפשרותך למחוק ו / או לגנוב מאיתנו מידע ומשתמשינו המשתמשים בפורום, הקהילה שאנו יוצרים.
3. אתה יכול גם לגנוב את שם המשתמש והסיסמה של כל המשתמשים שיש להם חשבון דוא"ל בשרת שלנו, כמו גם לגנוב את המידע מהאימיילים שלהם, להתחזות וכו '.
4. ועכשיו, סוף סוף, תוכלו להשתמש בחשבון בשרת ה- FTP שלנו ולהעלות כל קובץ שמכיל תוכנות זדוניות, שיאפשר לכם לקחת שליטה מוחלטת ו- ABSOLUTE בשרת שלנו.

אז מה אתה חושב? ... 🙂

האם אתה רואה את כל מה שיכול לקרות רק על ידי לא ליצור משתמשים עצמאיים לכל מסד נתונים שיש לנו?

זה לא הגזמה חברים, זה יכול לקרות בקלות מדהימה ... ובכן, כל מה שנדרש כדי לעורר את האסון הוא רק באג בחלק מיישומי האינטרנט שהתקנת.

עַכשָׁיו…

כיצד ליצור משתמשי MySQL נפרדים לכל יישום אינטרנט?

ראשית עלינו להיכנס לשרת MySQL עם משתמש הבסיס, מכיוון שהוא זה שיש לו הרשאות ליצור מסדי נתונים, ליצור הרשאות, ליצור משתמשים וכו ':

mysql -u root -p

כאשר הם כותבים את האמור לעיל ולוחצים [להיכנס] הם יתבקשו להזין את הסיסמה של משתמש השורש MySQL, הם מקלידים אותה ולוחצים [להיכנס] שוב, מיד יוצג לך משהו כזה:

כעת ניצור מסד נתונים בשם «webchatdb":
CREATE DATABASE webchatdb;

מוכן, כבר יצרת את מסד הנתונים, עכשיו בוא ניצור את המשתמש «משתמש צ'אט«עם הסיסמה«סיסמת מחיקת סיסמה":

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

עכשיו הקסם ... ניתן את כל הפריבילגיות (לקרוא ולכתוב) משתמש צ'אט רק ב- DB webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

וואלה, למשתמש יש כבר את ההרשאות במסד הנתונים הזה ... עכשיו נותר רק לרענן את ההרשאות ל- MySQL, כלומר להגיד ל- MySQL לקרוא מחדש את ההרשאות של המשתמשים מכיוון שזה עתה עשינו בהם שינוי:

FLUSH PRIVILEGES ;

אני משאיר צילום מסך:

וזה כבר הכל. על ידי ביצוע פעולה זו עבור כל יישום אינטרנט בו אנו משתמשים, אנו מתחייבים כי במקרה שהם יצליחו להפר את אחת מיישומי האינטרנט הללו, האחרים יהיו בטוחים (לפחות מנקודת המבט של MySQL)

מה זה נוהג טוב? 😉

אני מקווה שזה היה שימושי עבורך כמו שזה היה בשבילי, כי ניסיתי להסביר את זה בפשטות שיכולתי.

לגבי