Saglabājiet MySQL datu bāzes drošībā, izveidojot atsevišķus lietotājus un atļaujas

Es vienmēr esmu bijis labas prakses draugs, vēl vairāk, ja tas palīdz mums saglabāt mūsu serveru, pakalpojumu vai vienkārši mūsu informācijas drošību.

Paradums (slikts ieradums), kas piemīt daudziem administratoriem vai lietotājiem, ir izmantot piekļuvi sakne visām datu bāzēm, tas ir, ... viņi instalē vietni, izmantojot WordPress CMS, un kā piekļuves datus datu bāzei (lai WP izmantotu MySQL serveri un izmantotu tā DB) viņi ievieto MySQL servera administrēšanas lietotāju : sakne

Viņi arī instalē jebkuru citu tīmekļa lietojumprogrammu (tērzēšanu, ielīmēšanu, forumu utt.) Un dara to pašu, viņi vienmēr izmanto MySQL saknes lietotāju ...

KĻŪDA !!!

Tas ir vienkārši letāls ieradums.

Pieņemsim, ka mums serverī ir šādi pakalpojumi:

1. Vietne vai portāls, kas izmanto WordPress.
2. Mūsu atbalsta forums, sarunas utt. ... vesela kopiena.
3. FTP, kas izmanto MySQL datu bāzi lietotāju un paroļu glabāšanai.
4. E-pasta lietotāji (lietotāji un paroles) tiek glabāti MySQL datu bāzē.
5. Neliels WebChat, ko mēs instalējam, lai tērzētu ar kādu, kuru pazīstat.

Un visos no tiem 5 pakalpojumos mēs izmantojam MySQL saknes lietotāju, lai katrs pakalpojums piekļūtu datiem un tos saglabātu attiecīgajā datu bāzē.

Vienā jaukā dienā kāds no daudzajiem troļļiem, kas atrodas tīklā, taču tas ir ne tikai trollis, bet arī pārvalda dažus izmantošanas veidus, ievainojamības, uzlaušanas gadījumus utt. ... nolemj izdarīt kaut ko mums kaitīgu.

Atrodiet kļūdu WebChat, kuru izmantojam, izmantojot šīs kļūdas priekšrocības, tā pārvalda piekļuvi WebChat failiem, ieskaitot WebChat konfigurācijas failu, un ... šajā failā ir lietotājvārds un parole, ko WebChat izmanto piekļūt MySQL serverim un uzminēt ko? ... Tas nav nekas vairāk un ne mazāk sakņu lietotājs!

Iegūstot šo informāciju, trollis ļoti vienkāršā veidā var:

1. Izdzēsiet mūs un / vai nozagiet visu, kas saistīts ar vietni vai portālu, kas mums ir (WordPress).
2. Jūs varat izdzēst un / vai nozagt informāciju no mums UN no mūsu lietotājiem, kuri izmanto forumu, mūsu izveidoto kopienu.
3. Varat arī nozagt VISU lietotāju, kuriem mūsu serverī ir e-pasta konts, lietotājvārdu un paroli, kā arī nozagt informāciju no viņu e-pastiem, uzdot personas utt.
4. Un visbeidzot, jūs varat izmantot kontu mūsu FTP serverī un augšupielādēt visus failus, kas satur ļaunprātīgu programmatūru, kas ļautu jums TOTAL un ABSOLUTE kontrolēt mūsu serveri.

Nu ... ko jūs domājat? … 🙂

Vai redzat visu, kas var notikt, tikai neveidojot neatkarīgus lietotājus katrai mūsu datubāzei?

Tas NAV draugu pārspīlējums, tas var notikt ar pārsteidzošu vieglumu ... labi, viss, kas nepieciešams katastrofas atraisīšanai, ir tikai kļūda dažās jūsu instalētajās tīmekļa lietojumprogrammās.

Tagad ...

Kā izveidot atsevišķus MySQL lietotājus katrai tīmekļa lietojumprogrammai?

Vispirms mums ir jāievada MySQL serveris ar root lietotāju, jo viņam ir tiesības izveidot datubāzes, izveidot atļaujas, izveidot lietotājus utt.:

mysql -u root -p

Kad viņi raksta iepriekš minēto un nospiež [Ievadīt] viņiem tiks prasīts MySQL saknes lietotāja parole, viņi to uzraksta un nospiež [Ievadīt] atkal jums uzreiz tiks parādīts kaut kas līdzīgs šim:

Tagad mēs izveidosim datu bāzi ar nosaukumu «Webchatdb":
CREATE DATABASE webchatdb;

Gatavs, jūs jau esat izveidojis datu bāzi, tagad izveidosim lietotāju «tīmekļa pārlūks«Ar paroli«parole":

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Tagad burvība ... mēs piešķirsim visas privilēģijas (lasīt un rakstīt) tīmekļa pārlūks TIKAI DB Webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

Un voila, lietotājam jau ir atļaujas šajā datubāzē ... tagad atliek tikai atsvaidzināt MySQL atļaujas, tas ir, pateikt MySQL atkārtoti izlasīt lietotāju privilēģijas, jo mēs tikko esam tajās mainījuši:

FLUSH PRIVILEGES ;

Es jums atstāju ekrānuzņēmumu:

Un tas ir bijis viss. Veicot to katrai tīmekļa lietojumprogrammai, kuru izmantojam, mēs garantējam, ka gadījumā, ja viņiem izdosies pārkāpt kādu no šīm tīmekļa lietojumprogrammām, pārējās būs drošībā (vismaz no MySQL viedokļa)

Kāda ir laba prakse? 😉

Es ceru, ka tas jums ir bijis tikpat noderīgs kā man, jo es centos to izskaidrot pēc iespējas vienkāršāk.

Sveicieni