mysql中密码安全设置与安全漏洞防范_网络技术

MySQL最大风险源是默认空密码的root账户及多主机同名账户，须立即查删空密账户、启用密码策略、创建最小权限账号、限制监听地址并降低日志敏感度。

MySQL 默认账户与空密码是最大风险源

新装 MySQL 后，root@localhost 账户默认可能无密码，或存在 root@127.0.0.1、root@::1 等多个同名但主机不同的账户，部分甚至密码为空。攻击者只要能本地登录（比如通过 SSH 进入服务器），就能直接 mysql -u root 无密进入，完全控制数据库。

立即运行
```
SELECT user, host, authentication_string FROM mysql.user;
```
查看所有账户及其认证字符串（MySQL 5.7+）或 password 字段（5.6 及更早）
对所有空密码账户（authentication_string 为 '' 或 *），用 ALTER USER 'user'@'host' IDENTIFIED BY '强密码'; 重置
删除无用账户：如 DROP USER 'root'@'%';（除非明确需要远程 root）、DROP USER ''@'localhost';（匿名用户）
禁止 root 远程登录：保留 root@localhost，删掉或禁用 root@'%' 和其他通配 host

密码策略必须启用并强制执行

MySQL 5.7+ 自带 validate_password 插件，但默认不启用。不启用时，SET PASSWORD 或 CREATE USER 允许设 '123'、'password' 这类弱口令，等于形同虚设。

检查是否加载：
```
SHOW VARIABLES LIKE 'validate_password%';
```
若返回空，说明插件未启用

启用插件：

INSTALL PLUGIN validate_password SONAME 'validate_password.so';

（Linux）或 validate_password.dll（Windows）

设置强度等级：SET GLOBAL validate_password.policy = MEDIUM;（推荐），同时设最小长度：SET GLOBAL validate_password.length = 10;
策略生效后，CREATE USER 'app'@'%' IDENTIFIED BY 'abc'; 会报错 ERROR 1819 (HY000): Your password does not satisfy the current policy requirements

应用连接不要复用 root，要按需建最小权限账号

很多 Web 应用直接在配置里写 root 和密码，一旦代码泄露、日志误打、或 SQL 注入成功，攻击者就拿到全库 DROP 权限。真实场景中，一个订单查询接口只需要 SELECT 权限，却给了 ALL PRIVILEGES。

创建专用账号：CREATE USER 'shop_app'@'10.20.30.%' IDENTIFIED BY '长随机密码';（限定来源 IP 段）
只授必要权限：GRANT SELECT, INSERT ON shop_db.orders TO 'shop_app'@'10.20.30.%';，不要用 ON *.*
回收多余权限：REVOKE DROP ON shop_db.* FROM 'shop_app'@'10.20.30.%';（即使没显式授予，也建议显式回收）

定期审计：

SELECT u.user, u.host, p.table_schema, p.privilege_type FROM mysql.users u JOIN mysql.schema_privileges p ON u.user = p.grantee;

（注意：不同版本视图名略有差异）

网络层暴露和错误信息泄露常被忽视

MySQL 默认监听 0.0.0.0:3306，意味着只要防火墙没拦，外网就能扫到端口。而开启 log_error_verbosity = 3（默认）时，错误日志会记录认证失败的用户名——攻击者可借此枚举有效账户名。

绑定内网地址：修改 my.cnf 中 bind-address = 127.0.0.1 或具体内网 IP（如 10.20.30.5），避免 0.0.0.0
关闭远程 root 登录后，仍要确认防火墙规则：ufw deny 3306 或 iptables -A INPUT -p tcp --dport 3306 -j DROP
降低错误日志敏感度：SET GLOBAL log_error_verbosity = 2;（不记录用户名，只记失败事件）
禁用旧协议认证：SET GLOBAL old_passwords = 0;，并确保客户端使用 caching_sha2_password 或 mysql_native_password 插件

实际中最容易被忽略的是：多个 host 的同名账户权限不一致，且其中一个留着空密码；或者以为禁用了 root@’%’ 就安全了，却忘了 root@’::1’ 依然可用。这类细节不会报错，也不会告警，但只要一次扫描或一次本地提权，就全线失守。

# mysql # linux # word # windows # 防火墙 # app # 端口 # win # sql # select # Error # 字符串 # 接口 # Length # 事件 # input # 数据库 # ssh # 就能 # 多个 # 这类 # 报错 # 内网 # 的是 # 形同虚设 # 给了 # 只需要 # 其中一个

相关栏目：【网站优化151355 】【网络推广146373 】【网络技术251813 】【 AI营销90571 】