Giữ cơ sở dữ liệu MySQL của bạn an toàn bằng cách tạo người dùng và quyền riêng biệt

Tôi luôn là một người bạn của các phương pháp hay, còn hơn thế nữa nếu chúng giúp chúng tôi duy trì tính bảo mật của các máy chủ, dịch vụ hoặc đơn giản là thông tin của chúng tôi.

Một thói quen (thói quen xấu) mà nhiều quản trị viên hoặc người dùng mắc phải là sử dụng quyền truy cập với nguồn gốc đối với tất cả cơ sở dữ liệu, nghĩa là ... họ cài đặt một trang web bằng WordPress CMS và khi truy cập dữ liệu vào cơ sở dữ liệu (để WP sử dụng máy chủ MySQL và sử dụng DB của nó), họ đặt người dùng quản trị máy chủ MySQL : nguồn gốc

Ngoài ra, họ cài đặt bất kỳ ứng dụng web nào khác (trò chuyện, dán, diễn đàn, v.v.) và làm tương tự, họ luôn sử dụng người dùng gốc của MySQL ...

LỖI!!!

Đây chỉ đơn giản là một thói quen chết người.

Giả sử chúng ta có các dịch vụ sau trên một máy chủ:

1. Một trang web hoặc cổng thông tin sử dụng WordPress.
2. Diễn đàn hỗ trợ của chúng tôi, các cuộc nói chuyện, vv ... của cả một cộng đồng.
3. FTP sử dụng cơ sở dữ liệu MySQL để lưu trữ người dùng và mật khẩu.
4. Người dùng email được lưu trữ (người dùng và mật khẩu) trong cơ sở dữ liệu MySQL.
5. Một WebChat nhỏ mà chúng tôi cài đặt để trò chuyện với ai đó mà bạn biết.

Và trong tất cả chúng, trong 5 dịch vụ chúng tôi sử dụng người dùng gốc của MySQL để mỗi dịch vụ truy cập và lưu dữ liệu trong cơ sở dữ liệu tương ứng của nó.

Một ngày đẹp trời, có rất nhiều troll trên mạng, nhưng đây không chỉ là troll, mà còn làm chủ một số khai thác, lỗ hổng, hack, v.v. quyết định làm điều gì đó có hại cho chúng ta.

Tìm lỗi trong WebChat mà chúng tôi đang sử dụng, lợi dụng lỗi này, nó quản lý để truy cập các tệp WebChat, bao gồm tệp cấu hình WebChat và… trong tệp này, rõ ràng là tên người dùng và mật khẩu mà WebChat sử dụng để truy cập máy chủ MySQL và đoán xem? … Nó không hơn không kém là NGƯỜI DÙNG ROOT!

Bằng cách lấy thông tin này, theo một cách rất đơn giản, troll có thể:

1. Xóa chúng tôi và / hoặc ăn cắp mọi thứ liên quan đến trang web hoặc cổng thông tin mà chúng tôi có (WordPress).
2. Bạn có thể xóa và / hoặc lấy cắp thông tin từ chúng tôi VÀ từ những người dùng của chúng tôi, những người sử dụng Diễn đàn, cộng đồng mà chúng tôi tạo ra.
3. Bạn cũng có thể lấy cắp tên người dùng và mật khẩu của TẤT CẢ người dùng có tài khoản email trên máy chủ của chúng tôi, cũng như lấy cắp thông tin từ email của họ, mạo danh, v.v.
4. Và bây giờ cuối cùng, bạn có thể sử dụng tài khoản trên máy chủ FTP của chúng tôi và tải lên bất kỳ tệp nào có chứa phần mềm độc hại, điều này sẽ cho phép bạn giành được quyền kiểm soát TOTAL và TUYỆT ĐỐI đối với máy chủ của chúng tôi.

Vậy bạn nghĩ sao? … 🙂

Bạn có thấy mọi thứ có thể xảy ra chỉ bằng cách không tạo người dùng độc lập cho mỗi cơ sở dữ liệu mà chúng ta có?

Đây KHÔNG phải là một lời phóng đại bạn bè, điều này có thể xảy ra một cách dễ dàng đáng kinh ngạc ... tốt, tất cả những gì cần thiết để giải phóng thảm họa chỉ là một lỗi trong một số ứng dụng web mà bạn đã cài đặt.

Hiện nay…

Làm cách nào để tạo người dùng MySQL riêng biệt cho từng ứng dụng web?

Đầu tiên, chúng ta phải nhập máy chủ MySQL với người dùng gốc, vì anh ta là người có đặc quyền tạo cơ sở dữ liệu, thiết lập quyền, tạo người dùng, v.v.:

mysql -u root -p

Khi họ viết như trên và nhấn [Đi vào] Họ sẽ được hỏi mật khẩu của người dùng gốc MySQL, họ nhập mật khẩu và nhấn [Đi vào] một lần nữa, bạn sẽ ngay lập tức được hiển thị một cái gì đó như thế này:

Bây giờ chúng ta sẽ tạo một cơ sở dữ liệu có tên «webchatdb":
CREATE DATABASE webchatdb;

Sẵn sàng, bạn đã tạo cơ sở dữ liệu rồi, bây giờ hãy bắt đầu tạo người dùng «người dùng webchat«Với mật khẩu«mật khẩudelputowebchat":

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Bây giờ điều kỳ diệu ... chúng tôi sẽ trao tất cả các đặc quyền (đọc và ghi) cho người dùng webchat CHỈ trong DB webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

Và thì đấy, người dùng đã có các quyền trong cơ sở dữ liệu đó ... bây giờ nó chỉ còn lại để làm mới các quyền đối với MySQL, tức là yêu cầu MySQL đọc lại các đặc quyền của người dùng vì chúng tôi vừa thực hiện một thay đổi trong đó:

FLUSH PRIVILEGES ;

Tôi để lại ảnh chụp màn hình:

Và đây là tất cả mọi thứ. Bằng cách thực hiện điều này cho mỗi ứng dụng web mà chúng tôi sử dụng, chúng tôi đảm bảo rằng trong trường hợp họ quản lý để vi phạm một trong các ứng dụng web đó, các ứng dụng khác sẽ an toàn (ít nhất là theo quan điểm của MySQL)

Thực hành tốt là gì? 😉

Tôi hy vọng nó hữu ích với bạn cũng như đối với tôi, vì tôi đã cố gắng giải thích nó một cách đơn giản nhất có thể.

Liên quan