MySQL 5.6不刪空用戶的影響

来源:https://www.cnblogs.com/YangJiaXin/archive/2018/08/22/9518095.html
-Advertisement-
Play Games

[toc] 問題 MySQL5.6 新建本地可以登錄的用戶，但在本地始終登錄不上，不存在的用戶卻能登錄成功 分析 1、本是以ip地址進行登錄的，錯誤信息報的是Access denied for user 'admin'@'slave58'，自動進行了DNS解析，解析成了主機名，skip name r ...


目錄

MySQL 5.6不刪空用戶的影響

問題

MySQL5.6 新建本地可以登錄的用戶，但在本地始終登錄不上，不存在的用戶卻能登錄成功

mysql -uroot -p1234 -S /data/mysql/33562/mysql.sock  -e "select version()"
mysql: [Warning] Using a password on the command line interface can be insecure.
+-----------+
| version() |
+-----------+
| 5.6.39    |
+-----------+
創建了admin@'%' 用戶，但在本地無法登陸，但可以遠程登陸

sselect user,host,password from mysql.user;
+--------+-----------+-------------------------------------------+
| user   | host      | password                                  |
+--------+-----------+-------------------------------------------+
| root   | localhost | *A4B6157319038724E3560894F7F932C8886EBFCF |
| root   | slave58   |                                           |
| root   | 127.0.0.1 |                                           |
| root   | ::1       |                                           |
|        | localhost |                                           |
|        | slave58   |                                           |
| admin  | %         | *4ACFE3202A5FF5CF467898FC58AAB1D615029441 |
| zabbix | 127.0.0.1 | *DEEF4D7D88CD046ECA02A80393B7780A63E7E789 |
| super  | 127.0.0.1 | *F85A86E6F55A370C1A115F696A9AD71A7869DB81 |
| super  | slave58   | *F85A86E6F55A370C1A115F696A9AD71A7869DB81 |
+--------+-----------+-------------------------------------------+


show grants for 'admin'@'%';

+---------------------------------------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'admin'@'%' IDENTIFIED BY PASSWORD '*4ACFE3202A5FF5CF467898FC58AAB1D615029441' |
+---------------------------------------------------------------------------------------------------------------+

select password('admin');
+-------------------------------------------+
| password('admin')                         |
+-------------------------------------------+
| *4ACFE3202A5FF5CF467898FC58AAB1D615029441 |
+-------------------------------------------+

以ip地址無法登陸
mysql -uadmin -padmin   -P33562 -h10.186.30.58


mysql: [Warning] Using a password on the command line interface can be insecure.
ERROR 1045 (28000): Access denied for user 'admin'@'slave58' (using password: YES)

以socket也無法登陸
mysql -uadmin -padmin   -P33562 -S /data/mysql/33562/mysql.sock
或者
mysql -uadmin -padmin   -P33562 -h127.0.0.1

mysql: [Warning] Using a password on the command line interface can be insecure.
ERROR 1045 (28000): Access denied for user 'admin'@'localhost' (using password: YES)

不存在的用戶卻可以登錄成功
mysql -utest  -S /data/mysql/33562/mysql.sock
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 15
Server version: 5.6.39 MySQL Community Server (GPL)

Copyright (c) 2000, 2017, Oracle and/or its affiliates. All rights reserved.

分析

1、本是以ip地址進行登錄的，錯誤信息報的是Access denied for user 'admin'@'slave58'，自動進行了DNS解析，解析成了主機名，skip-name-resolve 可以禁用DNS解析
2、mysql在驗證許可權的時候，先驗證host，在驗證user，最後驗證password，即
host->user->password
3、以host或者socket登陸，進行了DNS解析，host；socket被解析成了slave58;localhost， 而mysql.user 中host 為localhost和slave58 對應空用戶，就報了訪問拒絕錯誤

測試

啟動mysqld時沒有加上--skip-name-resolve

以mysql不存在的用戶進行登錄


mysql -utest -P33562 -h`hostname`
或者
mysql -utest -S /data/mysql/33562/mysql.sock

Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 1
Server version: 5.6.39 MySQL Community Server (GPL)
.....
show grants;
+------------------------------------+
| Grants for @slave58                |
+------------------------------------+
| GRANT USAGE ON *.* TO ''@'slave58' |
+------------------------------------+
show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| test               |
+--------------------+
create table test.test_t1(id int);
Query OK, 0 rows affected (0.05 sec)
drop table test.test_t1;
Query OK, 0 rows affected (0.05 sec)
drop database test;
Query OK, 8 rows affected (0.49 sec)


    具有USAGE  的許可權的用戶 有test 庫的所有許可權和information_schema 中表的select許可權。
    不存在的用戶還可以 drop datase test 這個“神操作”是因為 空用戶具有test和test_*庫的所有許可權，而任何用戶都能匹配空用戶，mysql5.6初始化後預設就有這個，而mysql5.7預設沒有，也沒有空用戶，空密碼用戶
    select * from mysql.db;

以mysql.user中存在的用戶登錄如 “問題” 中所示，無法登錄

在mysql.user 中存在的用戶還不能登錄，任意一個不存在的用戶還可以登錄成功 ，還可以drop database test，這有很大的安全隱患！開始懷疑，這mysql5.6是不是假的o_o

啟動mysqld時加上--skip-name-resolve

ps -ef | grep -w 33562 | grep -v grep  | awk '{print $2}' | xargs -l kill
su - mysql -c "/usr/local/mysql/5.6.39/bin/mysqld --no-defaults --basedir=/usr/local/mysql/5.6.39 --datadir=/data/mysql/33562 --pid-file=/data/mysql/33562/clone.pid --port=33562 --server-id=33562 --socket=/data/mysql/33562/mysql.sock --tmpdir=/data/mysql/33562 --skip-name-resolve &"

以mysql.user中不存在的用戶進行登錄

mysql -utest   -P33562 -h`hostname`
ERROR 1045 (28000): Access denied for user 'test'@'10.186.30.58' (using password: NO)

mysql -utest -S /data/mysql/33562/mysql.sock
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 9
Server version: 5.6.39 MySQL Community Server (GPL)

以`hostname`登錄，host 轉化成ip地址，在mysql.user中沒有匹配到；
以socket登錄 host 被轉化成localhost,在mysql.user中匹配到了''@'localost'空用戶，登錄成功。可見，任意用戶都能匹配mysql.user的user為空' '的用戶

以mysql.user中存在的用戶可以登錄成功

mysql -uadmin -padmin   -P33562 -h10.186.30.58
mysql: [Warning] Using a password on the command line interface can be insecure.
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 1
Server version: 5.6.39 MySQL Community Server (GPL)

結論

1、在沒有以 skip-name-resolve 啟動啟動的情況下，以mysql -uuser -ppassword登錄會進行DNS解析，在mysql.user中匹配到錯誤的 host，即時沒有限制主機的用戶 ‘user’@'%'也無法登錄
2、即時一個並不存在的用戶在以`hostname` 或者socket進行登錄，若匹配了mysql.user中的host，該host對應的user和password為空，並不存在的用戶也能登錄成功
3、為了避免進行DNS解析，在my.cnf配置文件中添加skip-name-resolve
4、在剛初始化mysql5.6後，就應該刪除mysql.user; mysql.db中空用戶，空密碼賬戶(包括root空秘密賬戶)，減少安全隱患
DELETE FROM mysql.user WHERE PASSWORD=' ';
DELETE FROM mysql.db WHERE USER=' '; FLUSH PRIVILEGES;
5、可用mysql5.6 自帶mysql_secure_installation 腳本刪除空用戶，空密碼賬戶，刪除test庫

參考
mysql空用戶（user列為空）帶來的影響


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • SQLServer修改數據列
    修改數據列 在開發和生產過程中，列名的拼寫錯誤或者列名的更改是需要操作數據表的，大多數情況下都是不需要修改的. 以下幾種情況下我們並不能直接修改數據列： 1、用於索引的列。 2、用於 CHECK、FOREIGN KEY、UNIQUE 或 PRIMARY KEY 約束的列。 3、與預設值（由 DEFA ...
  • [20180823]IMU與db link.txt
    [20180823]IMU與db link.txt--//當使用db link查看遠程表時,實際上會產生小小的日誌.--//當時如果與IMU結合在一起,可以導致IMU的失效.1.環境:SCOTT@book> @ ver1PORT_STRING VERSION BANNER x86_64/Linux ...
  • [20180819]關於父子游標問題(11g).txt
    [20180819]關於父子游標問題(11g).txt--//sql語句存在父子游標,子游標堆6在父游標堆0裡面.--//如果存在許多子游標的情況下,父游標堆0是否大小是發生變化呢.測試看看.--//另外11g引入參數_cursor_obsolete_threshold限制子游標的數量,測試它的一些 ...
  • sql server 數據導出（入）方法總結
    我們都知道日常在面對數據需求時需要導出數據，比較少量的數據導出我們一般是通過查詢後另存即可，當面對數據量比較大的時候我們應該怎麼處理？我搜索總結一些幾個方法：1、bcp 導出。2、資料庫本身自帶的導入導出。3、如果更大的話，直接把備份庫直接拷貝出來，導出整個庫方法1：（少數量導入和導出）select ...
  • mysql 開發進階篇系列 27 資料庫字元集設置
    在安裝完資料庫後，使用漢字插入到表中，會報錯，需要修改字元集類型，如下圖所示： 如下圖所示： character_set_database=iatin1 需要改成utf8或gbk 打開my.cnf文件，修改參數，再重啟 重啟後，再查看SHOW VARIABLES LIKE 'character%'。 ...
  • 學會了這項技能，你就能獲得任何想要的信息！
    歡迎大家前往 "騰訊雲+社區" ，獲取更多騰訊海量技術實踐乾貨哦~ 本文由 "騰訊雲實驗室" 發表於 "雲+社區專欄" 騰訊雲提供了 "開發者實驗室" 教你搭建 PySpider 爬蟲服務，教程內容如下，用戶可以點擊 "開發者實驗室" 快速上機完成實驗。 環境準備 任務時間：5min ~ 10min ...
  • （一）MySQL基礎操作
    1.用戶管理 1.1用戶的定義 用戶名+主機域 select user,host,authentication_string from mysql.user; ...
  • oracle快速添加用戶及授權
    --Oracle使用的是用戶管理模式--意味著，Oracle的數據使用用戶來分割 --以後開發，我們需要每個項目都需要使用一個用戶 --所以：一個數據文件是可以放多個用戶的數據的。但是我們開發從數據的維護而已，是不希望--一個文件放多個用戶的數據的。這樣會導致相互影響 --數據文件是通過表空間來創建 ...
一周排行
    -Advertisement-
    Play Games
  • WPF 已知問題 監聽 WMI 事件導致觸摸失效
    示例項目結構 在 Visual Studio 中創建一個 WinForms 應用程式後，項目結構如下所示： MyWinFormsApp/ │ ├───Properties/ │ └───Settings.settings │ ├───bin/ │ ├───Debug/ │ └───Release/ ...
  • [STAThread]特性
    [STAThread] 特性用於需要與 COM 組件交互的應用程式，尤其是依賴單線程模型（如 Windows Forms 應用程式）的組件。在 STA 模式下，線程擁有自己的消息迴圈，這對於處理用戶界面和某些 COM 組件是必要的。 [STAThread] static void Main(stri ...
  • UWP WinUI3 傳入 AddHandler 的 RoutedEventHandler 類型與事件所需不匹配將拋出參數異常
    在WinForm中使用全局異常捕獲處理 在WinForm應用程式中，全局異常捕獲是確保程式穩定性的關鍵。通過在Program類的Main方法中設置全局異常處理，可以有效地捕獲並處理未預見的異常，從而避免程式崩潰。 註冊全局異常事件 [STAThread] static void Main() { / ...
  • .NET 多版本 WinForm 開源控制項庫 SunnyUI
    前言 給大家推薦一款開源的 Winform 控制項庫，可以幫助我們開發更加美觀、漂亮的 WinForm 界面。 項目介紹 SunnyUI.NET 是一個基於 .NET Framework 4.0+、.NET 6、.NET 7 和 .NET 8 的 WinForm 開源控制項庫，同時也提供了工具類庫、擴展 ...
  • .net core8 使用Swagger（附當前源碼）
    說明 該文章是屬於OverallAuth2.0系列文章，每周更新一篇該系列文章（從0到1完成系統開發）。 該系統文章，我會儘量說的非常詳細，做到不管新手、老手都能看懂。 說明：OverallAuth2.0 是一個簡單、易懂、功能強大的許可權+可視化流程管理系統。 有興趣的朋友，請關註我吧(*^▽^*) ...
  • WPF 什麼時候 VisualTreeHelper.GetDescendantBounds 將返回無窮大
    一、下載安裝 1.下載git 必須先下載並安裝git，再TortoiseGit下載安裝 git安裝參考教程：https://blog.csdn.net/mukes/article/details/115693833 2.TortoiseGit下載與安裝 TortoiseGit，Git客戶端，32/6 ...
  • C# 開源教程帶你輕鬆掌握數據結構與演算法
    前言 在項目開發過程中，理解數據結構和演算法如同掌握蓋房子的秘訣。演算法不僅能幫助我們編寫高效、優質的代碼，還能解決項目中遇到的各種難題。 給大家推薦一個支持C#的開源免費、新手友好的數據結構與演算法入門教程：Hello演算法。 項目介紹 《Hello Algo》是一本開源免費、新手友好的數據結構與演算法入門 ...
  • 第22篇 生成proto文件bat腳本
    1.生成單個Proto.bat內容 @rem Copyright 2016, Google Inc. @rem All rights reserved. @rem @rem Redistribution and use in source and binary forms, with or with ...
  • 記一次 .NET某上位機視覺程式 卡死分析
    一：背景 1. 講故事 前段時間有位朋友找到我，說他的窗體程式在客戶這邊出現了卡死，讓我幫忙看下怎麼回事？dump也生成了，既然有dump了那就上 windbg 分析吧。 二：WinDbg 分析 1. 為什麼會卡死 窗體程式的卡死，入口門檻很低，後續往下分析就不一定了，不管怎麼說先用 !clrsta ...
  • 醫學DICOM文件與PACS系統進行數據傳輸
    前言 人工智慧時代，人臉識別技術已成為安全驗證、身份識別和用戶交互的關鍵工具。 給大家推薦一款.NET 開源提供了強大的人臉識別 API，工具不僅易於集成，還具備高效處理能力。 本文將介紹一款如何利用這些API，為我們的項目添加智能識別的亮點。 項目介紹 GitHub 上擁有 1.2k 星標的 C# ...
所有分類