设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15141] 2020-03-17_等保测评2.0：MySQL身份鉴别 ...
返回列表 发新帖
查看: 1|回复: 0

[15141] 2020-03-17_等保测评2.0：MySQL身份鉴别

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-03-17_等保测评2.0：MySQL身份鉴别 等 保 测 评 2 . 0 ： M y S Q L 身 份 鉴 别 起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 3 - 1 7 一 、 一 、   说 明 说 明 本 篇 文 章 主 要 说 一 下 本 篇 文 章 主 要 说 一 下 M y S Q L 数 据 中 身 份 鉴 别 控 制 点 中 数 据 中 身 份 鉴 别 控 制 点 中 b 、 、 c 、 、 d 测 评 项 的 相 关 知 识 点 和 理 解 。 测 评 项 的 相 关 知 识 点 和 理 解 。 二 、 测 评 项 二 、 测 评 项 b ) 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 ； c ) 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ； d ) 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 。 三 、 测 评 项 三 、 测 评 项 b b ) 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 ； 3 . 1 .   登 录 失 败 功 能 登 录 失 败 功 能 1 对 于 登 录 失 败 功 能 ， 先 说 一 说 初 级 教 程 里 的 参 数 ： m a x _ c o n n e c t _ e r r o r s ： 这 里 的 参 数 其 实 和 我 们 想 要 的 功 能 有 差 别 ， 根 据 测 评 项 ， 需 要 的 是 输 入 口 令 失 败 次 数 过 多 后 锁 定 相 应 账 户 的 功 能 。 m a x _ c o n n e c t _ e r r o r s 从 表 面 说 明 看 来 ， 好 像 是 这 样 。 但 我 自 己 在 本 地 进 行 测 试 后 ， 发 现 当 口 令 错 误 次 数 超 过 m a x _ c o n n e c t _ e r r o r s 的 值 后 ， 仍 可 以 登 录 数 据 库 。 根 据 网 上 的 说 明 ， m a x _ c o n n e c t _ e r r o r s 所 指 的 “ 请 求 没 有 成 功 的 建 立 就 断 开 了 ” ， 其 实 是 指 由 网 络 因 素 导 致 的 连 接 失 败 。 在 客 户 端 与 M y S Q L 进 行 连 接 时 ， 会 首 先 发 起 三 次 握 手 协 议 ， 在 这 个 期 间 ， 有 一 个 超 时 时 间 ， 如 果 网 络 超 时 超 过 该 时 间 ， 这 次 连 接 就 无 法 正 常 建 立 ， 这 个 失 败 次 数 会 计 入 h o s t _ c a c h e 表 中 的 S U M _ C O N N E C T _ E R R O R S 字 段 中 ， 当 S U M _ C O N N E C T _ E R R O R S 超 过 限 定 值 m a x _ c o n n e c t _ e r r o r s 时 ， 就 会 阻 止 该 主 机 的 所 有 请 求 了 。 而 因 为 输 入 口 令 错 误 导 致 的 连 接 错 误 ， 不 会 计 入 S U M _ C O N N E C T _ E R R O R S 中 ， 也 就 不 会 达 到 我 们 想 要 的 效 果 了 。 关 于 m a x _ c o n n e c t _ e r r o r s 的 详 细 说 明 ， 可 以 看 一 看 这 篇 文 章 ： M y S Q L 参 数 m a x _ c o n n e c t _ e r r o r s 分 析 释 疑 3 . 2 .   登 录 失 败 功 能 登 录 失 败 功 能 2
可 以 使 用 插 件 C O N N E C T I O N _ C O N T R O L 和 C O N N E C T I O N _ C O N T R O L _ F A I L E D _ L O G I N _ A T T E M P T S 共 同 实 现 。 使 用 下 列 语 句 查 询 插 件 ： 然 后 是 它 的 相 关 参 数 值 ： 参 数 解 释 如 下 ： c o n n e c t i o n _ c o n t r o l _ f a i l e d _ c o n n e c t i o n s _ t h r e s h o l d ： 在 服 务 器 增 加 后 续 连 接 尝 试 的 延 迟 之 前 ， 允 许 客 户 端 进 行 的 连 续 失 败 连 接 尝 试 的 次 数 。 c o n n e c t i o n _ c o n t r o l _ m i n _ c o n n e c t i o n _ d e l a y ： 对 于 超 出 阈 值 的 每 个 连 续 连 接 失 败 ， 要 添 加 的 延 迟 量 。 c o n n e c t i o n _ c o n t r o l _ m a x _ c o n n e c t i o n _ d e l a y ： 要 添 加 的 最 大 延 迟 。 上 述 参 数 中 ， 关 于 时 间 参 数 的 单 位 是 毫 秒 ， 其 作 用 如 下 ： m y s q l >   S E L E C T   P L U G I N _ N A M E ,   P L U G I N _ S T A T U S               F R O M   I N F O R M A T I O N _ S C H E M A . P L U G I N S               W H E R E   P L U G I N _ N A M E   L I K E   ' c o n n e c t i o n % ' ; + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - + |   P L U G I N _ N A M E                                                             |   P L U G I N _ S T A T U S   | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - + |   C O N N E C T I O N _ C O N T R O L                                               |   A C T I V E                 | |   C O N N E C T I O N _ C O N T R O L _ F A I L E D _ L O G I N _ A T T E M P T S   |   A C T I V E                 | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - + s h o w   v a r i a b l e s   l i k e   ' % c o n n e c t i o n _ c o n t r o l % ' ;
例 如 ， 使 用 默 认 值   c o n n e c t i o n _ c o n t r o l _ f a i l e d _ c o n n e c t i o n s _ t h r e s h o l d   和   c o n n e c t i o n _ c o n t r o l _ m i n _ c o n n e c t i o n _ d e l a y   值 分 别 为 3 和 1 0 0 0 ， 客 户 端 的 前 三 个 连 续 失 败 连 接 尝 试 没 有 延 迟 ， 第 四 次 失 败 尝 试 没 有 1 0 0 0 毫 秒 的 延 迟 ， 第 五 次 失 败 尝 试 有 2 0 0 0 毫 秒 的 延 迟 ， 依 此 类 推 ， 直 到 允 许 的 最 大 延 迟   c o n n e c t i o n _ c o n t r o l _ m a x _ c o n n e c t i o n _ d e l a y 。 具 体 可 以 参 看 官 方 说 明 ： 连 接 控 制 插 件 的 安 装 这 里 说 一 点 ， 两 个 插 件 要 都 处 于 启 用 状 态 才 能 实 现 效 果 ： 可 以 安 装 一 个 插 件 而 不 安 装 另 一 个 插 件 ， 但 是 必 须 安 装 两 个 插 件 才 能 完 全 控 制 连 接 。 特 别 是 ， 仅 安 装 C O N N E C T I O N _ C O N T R O L _ F A I L E D _ L O G I N _ A T T E M P T S   插 件 没 什 么 用 ， 因 为 如 果 没 有   C O N N E C T I O N _ C O N T R O L 插 件 提 供 填 充 C O N N E C T I O N _ C O N T R O L _ F A I L E D _ L O G I N _ A T T E M P T S   表 的 数 据 ， 那 么   从 表 中 进 行 的 检 索 将 始 终 为 空 。 3 . 3 .   超 时 功 能 超 时 功 能 在 初 级 教 程 中 ， 说 的 是 w a i t _ t i m e o u t 参 数 ， 这 个 参 数 的 单 位 是 秒 ， 默 认 值 是 2 8 8 8 0 。 这 个 超 时 时 间 ， 指 的 是 某 个 和 数 据 库 的 连 接 ， 在 限 制 时 间 内 没 有 发 起 任 何 请 求 ， 这 个 连 接 就 会 被 清 理 掉 。 但 实 际 上 相 关 的 参 数 是 两 个 ， 从 官 方 文 档 上 来 看 ， i n t e r a c t i v e _ t i m e o u t 和 w a i t _ t i m e o u t 是 一 样 的 ， 都 是 指 不 活 跃 的 连 接 超 时 时 间 ， 连 接 线 程 启 动 的 时 候 w a i t _ t i m e o u t 会 根 据 是 交 互 模 式 还 是 非 交 互 模 式 被 设 置 为 这 两 个 值 中 的 一 个 。 交 互 式 操 作 ： 通 俗 的 说 ， 就 是 你 在 你 的 本 机 上 打 开 m y s q l 的 客 户 端 ， 就 是 那 个 黑 窗 口 ， 在 黑 窗 口 下 进 行 各 种 s q l 操 作 ， 当 然 走 的 肯 定 是 t c p 协 议 。 非 交 互 式 操 作 ： 就 是 你 在 你 的 项 目 中 进 行 程 序 调 用 。 比 如 一 边 是 t o m c a t   w e b 服 务 器 ， 一 边 是 数 据 库 服 务 器 ， 两 者 怎 么 通 信 ？ 在 j a v a   w e b 里 ， 我 们 通 常 会 选 择 h i b e r n a t e 或 者 是 j d b c 来 连 接 。 那 么 这 时 候 就 是 非 交 互 式 操 作 。 当 使 用 交 互 模 式 时 ， 使 用 i n t e r a c t i v e _ t i m e o u t 参 数 ， 而 非 交 互 模 式 时 ， 则 使 用 w a i t _ t i m e o u t 参 数 。 但 实 际 上 呢 ， M y S Q L 在 这 里 绕 了 个 圈 子 ， 使 用 交 互 模 式 时 ， 虽 然 使 用 的 是 i n t e r a c t i v e _ t i m e o u t 参 数 ， 但 这 里 所 谓 的 使 用 是 指 在 c h e c k _ c o n n e c t i o n 函 数 在 建 立 连 接 初 期 ， 将 i n t e r a c t i v e _ t i m e o u t 值 赋 给 w a i t _ t i m e o u t ， 然 后 仍 然 由 w a i t _ t i m e o u t 来 控 制 超 时 （ 这 种 模 式 太 容 易 误 导 人 了 ） ： 做 个 实 验 ， 默 认 状 况 下 i n t e r a c t i v e _ t i m e o u t 和 w a i t _ t i m e o u t 都 是 默 认 值 2 8 8 8 0 。 在 一 个 交 互 式 连 接 中 ， 用 以 下 语 句 设 置 i n t e r a c t i v e _ t i m e o u t 值 ： 此 时 w a i t _ t i m e o u t 还 是 2 8 8 8 0 （ 因 为 w a i t _ t i m e o u t 引 用 i n t e r a c t i v e _ t i m e o u t 值 的 时 间 节 点 已 经 过 去 了 ） ， 当 新 建 一 个 交 互 式 连 接 后 ， w a i t _ t i m e o u t 的 值 就 变 成 了 2 8 8 0 5 了 ： 详 细 内 容 可 以 查 看 M y S Q L 官 方 文 档 以 及 M y S Q L 中   t i m e o u t 相 关 参 数 解 析 、 m y s q l   t i m e o u t 调 研 与 实 测 3 . 4 .   M y S Q L 变 量 变 量 这 里 说 一 说 一 个 概 念 ， 在 M y S Q L 中 存 在 g l o b a l 变 量 和 s e s s i o n 变 量 ， 比 如 w a i t _ t i m e o u t ， 在 g l o b a l 变 量 和 s e s s i o n 变 量 都 存 在 （ 也 有 些 变 量 只 s e t   g l o b a l   i n t e r a c t i v e _ t i m e o u t   =   2 8 8 0 5 ; s h o w   s e s s i o n   v a r i a b l e s   l i k e   ' % t i m e o u t % ' ;
存 在 g l o b a l 变 量 中 ） ： s e s s i o n 变 量 是 指 该 变 量 仅 对 这 一 次 连 接 有 效 ， g l o b a l 变 量 则 是 对 所 有 连 接 均 有 效 。 当 每 个 连 接 建 立 时 ， 其 s e s s i o n 变 量 来 自 相 应 的 g l o b a l 变 量 。 当 M y S Q L 服 务 重 启 时 ， g l o b a l 变 量 也 会 失 效 ， 从 M y S Q L 配 置 文 件 中 读 取 默 认 值 或 者 设 置 值 。 我 们 常 用 的 查 询 、 设 置 变 量 的 语 句 ， 在 不 加 上 g l o b a l 关 键 词 时 ， 默 认 查 询 和 设 置 的 都 是 s e s s i o n 变 量 ， 以 下 两 个 语 句 是 等 价 的 ： 如 果 要 查 询 g l o b a l 变 量 ， 加 上 g l o b a l 关 键 字 即 可 ： 所 以 在 上 文 中 设 置 了 g l o b a l   i n t e r a c t i v e _ t i m e o u t 值 后 的 过 程 是 这 样 的 ： 设 置 g l o b a l   i n t e r a c t i v e _ t i m e o u t ， 重 新 交 互 式 建 立 连 接 ， 此 时 s e s s i o n   i n t e r a c t i v e _ t i m e o u t 的 值 来 自 设 置 的 g l o b a l   i n t e r a c t i v e _ t i m e o u t 的 值 （ 2 8 8 0 5 ） 。 此 时 s e s s i o n   w a i t _ t i m e o u t 的 值 也 来 自 g l o b a l   w a i t _ t i m e o u t 的 值 （ 2 8 8 0 0 ） 。 然 后 在 连 接 的 建 立 过 程 中 s e s s i o n   w a i t _ t i m e o u t 引 用 了 s e s s i o n   i n t e r a c t i v e _ t i m e o u t ， 于 是 就 变 成 了 2 8 8 0 5 。 四 、 测 评 项 四 、 测 评 项 c c ) 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ； M y S Q L 自 己 支 持 使 用 s s l 协 议 对 连 接 进 行 加 密 ， 相 关 的 参 数 有 h a v e _ o p e n s s l 、 h a v e _ s s l ： 这 里 的 h a v e _ o p e n s s l 变 量 如 果 按 照 官 网 的 手 册 里 的 说 法 ， 应 该 是 h a v e _ s s l 变 量 的 别 名 ： 其 内 容 如 下 ： s h o w   s e s s i o n   v a r i a b l e s   l i k e   ' % t i m e o u t % ' ; s h o w   v a r i a b l e s   l i k e   ' % t i m e o u t % ' ; s h o w   g l o b a l     v a r i a b l e s   l i k e   ' % t i m e o u t % ' ;
为 Y E S 则 代 表 数 据 库 支 持 S S L 连 接 （ 但 并 不 代 表 强 制 要 求 客 户 端 使 用 s s l 协 议 ， 此 时 它 仍 然 允 许 未 加 密 的 连 接 ） 如 果 某 连 接 使 用 到 了 S L L ， 在 M y s q l . e x e 中 ， 使 用 s t a t u s 可 以 看 到 相 关 信 息 （ 这 里 没 使 用 ） ： 同 时 S S L _ C I P H E R 变 量 中 会 存 在 值 ： 使 用 S S L ， 需 要 运 行 m y s q l _ s s l _ r s a _ s e t u p ， 生 成 以 下 文 件 ：
此 时 ， 相 关 变 量 如 下 ： 可 以 强 制 某 用 户 必 须 使 用 s s l 进 行 连 接 ： 也 可 以 强 制 服 务 器 端 只 接 受 s s l 的 连 接 ： 五 、 测 评 项 五 、 测 评 项 d d ) 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 。 对 于 双 因 素 本 身 的 探 讨 在 这 里 就 不 进 行 重 复 的 论 述 了 ， 可 以 看 我 以 前 文 章 中 该 测 评 项 的 内 容 ： 等 保 测 评 2 . 0 ： W i n d o w s 身 份 鉴 别 、 等 保 测 评 2 . 0 ： S Q L S e r v e r 身 份 鉴 别 （ 下 ）   。 对 于 M y S Q L 本 身 ， 可 以 要 求 客 户 端 必 须 提 供 c a . p e m 、 c l i e n t - c e r t . p e m 、 c l i e n t - k e y . p e m 文 件 才 能 够 连 接 成 功 ：
通 过 对 用 户 进 行 设 置 ： 此 时 如 果 直 接 使 用 用 户 名 、 口 令 去 连 接 ， 会 出 错 ： 此 时 需 要 在 客 户 端 连 接 时 指 定 相 关 文 件 ： 具 体 内 容 可 以 查 看 M y s q l 启 动 s s l 连 接 这 种 应 该 也 算 是 使 用 双 因 素 进 行 身 份 认 证 ， 至 于 如 果 使 用 堡 垒 机 的 方 式 对 数 据 库 进 行 管 理 ， 然 后 堡 垒 机 使 用 双 因 素 认 证 等 ， 只 能 用 来 修 正 双 因 素 的 高 风 险 而 已 。 * 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡   ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 精 彩 推 荐 精 彩 推 荐 A L T E R   U S E R   ' r e m o t e _ u s e r ' @ ' m y s q l _ c l i e n t _ I P '   R E Q U I R E   X 5 0 9 ; m y s q l   - u   r e m o t e _ u s e r   - p   - h   m y s q l _ s e r v e r _ I P E R R O R   1 0 4 5   ( 2 8 0 0 0 ) :   A c c e s s   d e n i e d   f o r   u s e r   ' r e m o t e _ u s e r ' @ ' m y s q l _ c l i e n t _ I P '   ( u s i n g   p a s s w o r d :   Y E S ) m y s q l   - u   r e m o t e _ u s e r   - p   - h   m y s q l _ s e r v e r _ I P   - - s s l - c a = ~ / c l i e n t - s s l / c a . p e m   - - s s l - c e r t = ~ / c l i e n t - s s l / c l i e n t - c e r t . p e m   - - s s l - k e y = ~
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:14 , Processed in 0.802838 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表