设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15130] 2020-03-14_等保测评2.0：MySQL访问控制 ...
返回列表 发新帖
查看: 1|回复: 0

[15130] 2020-03-14_等保测评2.0：MySQL访问控制

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-56

积分

管理员

积分
-56
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-03-14_等保测评2.0：MySQL访问控制 等 保 测 评 2 . 0 ： M y S Q L 访 问 控 制 原 创   起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 3 - 1 4 一 、 说 明 一 、 说 明 本 篇 文 章 主 要 说 一 说 本 篇 文 章 主 要 说 一 说 M y S Q L 中 访 问 控 制 控 制 点 的 相 关 内 容 和 理 解 。 中 访 问 控 制 控 制 点 的 相 关 内 容 和 理 解 。 二 、 测 评 项 二 、 测 评 项 a ) 应 对 登 录 的 用 户 分 配 账 户 和 权 限 ； b ) 应 重 命 名 或 删 除 默 认 账 户 ， 修 改 默 认 账 户 的 默 认 口 令 ； c ) 应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 ；   d ) 应 授 予 管 理 用 户 所 需 的 最 小 权 限 ， 实 现 管 理 用 户 的 权 限 分 离 ； e ) 应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 ； f ) 访 问 控 制 的 粒 度 应 达 到 主 体 为 用 户 级 或 进 程 级 ， 客 体 为 文 件 、 数 据 库 表 级 ； g ) 应 对 重 要 主 体 和 客 体 设 置 安 全 标 记 ， 并 控 制 主 体 对 有 安 全 标 记 信 息 资 源 的 访 问 。 三 、 测 评 项 三 、 测 评 项 a a ) 应 对 登 录 的 用 户 分 配 账 户 和 权 限 ； 3 . 1 .   要 求 要 求 1 如 果 从 字 面 意 思 来 看 ， 就 是 一 个 废 话 ， 用 户 都 登 录 账 户 了 ， 自 然 就 存 在 着 账 户 。 这 里 的 意 思 是 应 该 是 你 本 来 就 存 在 “ 多 个 账 户 ” ， 然 后 当 用 户 使 用 时 要 适 当 的 “ 分 配 账 户 ” 给 用 户 ， 而 账 户 再 拥 有 不 一 样 的 权 限 ， 这 样 就 实 现 了 将 权 限 通 过 账 户 分 配 给 用 户 （ 自 然 人 ） 。 所 以 ， 该 测 评 项 就 需 要 M y S Q L 中 存 在 至 少 两 个 账 户 ， 且 这 两 个 账 户 的 权 限 不 一 样 。 3 . 2 .   要 求 要 求 2 在 测 评 要 求 中 测 评 实 施 如 下 ： 在 M y S Q L 中 ， 安 装 完 成 后 默 认 存 在 的 账 户 一 般 有 3 个 ， 都 是 r o o t ： 先 不 管 其 中 是 否 存 在 多 余 账 户 ， 这 个 账 户 如 果 使 用 的 话 一 般 当 做 超 级 管 理 员 来 用 ， 默 认 状 况 下 r o o t 账 户 也 拥 有 着 所 有 的 全 局 权 限 ， 也 不 需 要 对 r o o t 账 户 的 权 限 做 什 么 限 制 。 全 局 权 限 存 储 在 u s e r 表 中 ， 里 面 有 着 权 限 列 ：
四 、 测 评 项 四 、 测 评 项 b b ) 应 重 命 名 或 删 除 默 认 账 户 ， 修 改 默 认 账 户 的 默 认 口 令 ； 默 认 账 户 r o o t 当 然 是 可 以 修 改 用 户 名 的 ， 但 是 一 般 数 据 库 和 实 际 业 务 关 联 比 较 深 ， 修 改 数 据 库 用 户 的 用 户 名 肯 定 会 影 响 到 业 务 。 所 以 从 实 际 角 度 来 说 ， 应 该 是 建 议 修 改 r o o t 的 用 户 名 ， 但 不 强 制 要 求 。 如 果 没 有 修 改 用 户 名 或 者 禁 用 账 户 的 话 ， 似 乎 M y S Q L 安 装 好 后 r o o t 账 户 存 在 一 个 初 始 口 令 （ 随 机 生 成 的 ） 。 无 论 存 不 存 在 初 始 口 令 ， 现 在 使 用 的 口 令 应 该 是 强 口 令 ， 才 符 合 测 评 要 求 。 五 、 测 评 项 五 、 测 评 项 c c ) 应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 ； 默 认 账 户 一 般 就 是 r o o t 账 户 ， 这 里 个 人 觉 得 是 存 在 多 余 账 户 的 ： 在 等 保 测 评 2 . 0 ： M y S Q L 身 份 鉴 别 （ 上 ） 中 有 说 过 ： 对 于 M y S Q L 来 说 ， 如 上 文 所 言 ， 用 户 的 身 份 标 识 为 u s e r n a m e   +   h o s t ， M y S Q L 并 没 有 禁 止 出 现 完 全 一 样 的 u s e r n a m e   +   h o s t 行 ， 所 以 这 里 是 可 能 出 现 身 份 标 识 不 唯 一 的 情 况 的 。 这 三 个 用 户 的 U s e r 都 是 r o o t ， 虽 然 H o s t 看 上 去 不 一 样 ， 实 际 上 也 都 是 本 机 地 址 。 1 2 7 . 0 . 0 . 1 就 是 本 地 的 i p 地 址 ， l o c a l h o s t 则 是 在 h o s t s 文 件 里 （ l i n u x 系 统 中 ） 和 i p 地 址 进 行 了 映 射 ， 其 实 映 射 的 还 是 1 2 7 . 0 . 0 . 1 地 址 ， 至 于 : : 1 应 该 是 i p v 6 格 式 的 本 机 地 址 。 : : 1 这 个 我 不 知 道 要 如 何 才 能 连 上 ， 当 用 户 名 为 r o o t 的 行 只 剩 下 h o s t 值 为 : : 1 的 行 的 时 候 ， 使 用 用 户 名 r o o t 怎 么 连 都 不 可 能 连 上 。 对 于 1 2 7 . 0 . 0 . 1 和 l o c a l h o s t ， 在 w i n d o w s 系 统 上 没 啥 区 别 ， 登 录 时 其 排 序 是 不 确 定 的 （ 对 于 这 种 ， 应 该 是 谁 先 创 建 谁 在 前 ） 。 对 于 1 2 7 . 0 . 0 . 1 和 l o c a l h o s t ， 好 像 在 l i n u x 上 有 一 点 区 别 ： M y S Q L 主 机 1 2 7 . 0 . 0 . 1 与 l o c a l h o s t 区 别 总 结 从 正 常 的 业 务 需 求 来 说 ， 明 显 这 三 个 用 户 的 身 份 标 识 是 不 唯 一 的 ， 应 该 删 掉 : : 1 和 另 外 一 个 。 至 于 非 默 认 账 户 ， 可 以 通 过 访 谈 或 者 权 限 查 询 来 判 断 是 否 为 多 余 账 户 。 六 、 测 评 项 六 、 测 评 项 d d ) 应 授 予 管 理 用 户 所 需 的 最 小 权 限 ， 实 现 管 理 用 户 的 权 限 分 离 ； 6 . 1 .   M y S Q L 的 权 限 结 构 的 权 限 结 构 M y S Q L 的 权 限 是 有 多 个 层 级 的 ， 分 别 是 ， 存 储 在 各 个 表 当 中 。 分 别 是 ： m y s q l . u s e r 表 （ 全 局 权 限 ） 、 m y s q l . d b 表 （ 数 据 库 权 限 ） 、 m y s q l . t a b l e s _ p r i v （ 表 权 限 ） 、 m y s q l . c o l u m n s _ p r i v （ 列 权 限 ） 。 权 限 判 断 过 程 大 概 是 这 样 的 ： 客 户 端 操 作 核 实 阶 段 ， 当 客 户 端 的 连 接 请 求 被 M y S Q L 服 务 器 端 通 过 其 身 份 认 证 后 。 那 么 接 下 来 就 可 以 发 送 数 据 库 的 操 作 命 令 给 服 务 器 端 处 理 ， 服 务 器 检 查 用 户 要 执 行 的 操 作 ， 在 确 认 权 限 时 ， M y S Q L 首 先 检 查 u s e r 表 ， 如 果 指 定 的 权 限 没 有 在 u s e r 表 中 被 授 权 ； M y S Q L 将 检 查 d b 表 ， d b 表 时 下 一 安 全 层 级 ， 其 中 的 权 限 限 定 于 数 据 库 层 级 ， 在 该 层 级 的 S E L E C T 权 限 允 许 用 户 查 看 指 定 数 据 库 的 所 有 表 中 的 数 据 ； 如 果 在 该 层 级 没 有 找 到 限 定 的 权 限 ， 则 M y S Q L 继 续 检 查 t a b l e s _ p r i v 表 以 及 c o l u m n s _ p r i v 表 ， 如 果 所 有 权 限 表 都 检 查 完 毕 ， 但 还 是 没 有 找 到 允 许 的 权 限 操 作 ， M y S Q L 将 返 回 错 误 信 息 ， 用 户 请 求 的 操 作 不 能 执 行 ， 操 作 失 败 。 其 过 程 大 概 如 下 图 ： 查 询 某 用 户 的 权 限 的 话 ， 可 以 去 上 述 几 个 权 限 表 中 查 看 数 据 。 也 可 以 使 用 s h o w   g r a n t s   f o r   ‘ x x ’ @ ’ x x ’ 语 句 ， 这 个 语 句 应 该 会 把 某 用 户 在 这 些 表 中 的 权 限 全 部 列 出 来 ： 其 中 第 一 行 是 全 局 权 限 ， 第 二 行 是 m y s q l 数 据 库 的 权 限 ， 第 三 、 四 行 则 是 表 一 级 的 权 限 。 两 种 查 询 方 法 如 下 图 ：   + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |   G r a n t s   f o r   d b a @ l o c a l h o s t                                                                                                                                         | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |   G R A N T   R E L O A D ,   S U P E R ,   R E P L I C A T I O N   C L I E N T   O N   * . *   T O   ' d b a ' @ ' l o c a l h o s t '                                                   | |   G R A N T   C R E A T E   T E M P O R A R Y   T A B L E S   O N   ` m y s q l ` . *   T O   ' d b a ' @ ' l o c a l h o s t '                                                           | |   G R A N T   S E L E C T ,   I N S E R T ,   U P D A T E ,   C R E A T E ,   D R O P   O N   ` m y s q l ` . ` b a c k u p _ h i s t o r y `   T O   ' d b a ' @ ' l o c a l h o s t '   | |   G R A N T   I N S E R T ,   U P D A T E ,   C R E A T E ,   D R O P   O N   ` m y s q l ` . ` i b b a c k u p _ b i n l o g _ m a k e r `   T O   ' d b a ' @ ' l o c a l h o s t '     | |   G R A N T   I N S E R T ,   U P D A T E ,   C R E A T E ,   D R O P   O N   ` m y s q l ` . ` b a c k u p _ p r o g r e s s `   T O   ' d b a ' @ ' l o c a l h o s t '                 | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
6 . 2 .   测 评 项 要 求 测 评 项 要 求 那 么 怎 么 才 算 是 符 合 呢 ？ 应 该 要 根 据 应 用 程 序 业 务 复 杂 程 度 来 判 断 ， 应 用 程 序 业 务 越 复 杂 或 者 越 庞 大 ， 则 数 据 库 账 户 的 权 限 就 应 该 划 分 得 越 细 致 。 反 正 ， 一 个 r o o t 账 户 从 头 用 到 尾 ， 那 肯 定 是 不 符 合 的 。 其 余 的 内 容 ， 可 以 参 考 下 初 级 教 程 ： 七 、 测 评 项 七 、 测 评 项 e e ) 应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 ； 授 权 主 体 在 数 据 库 中 也 就 是 拥 有 设 置 用 户 权 限 的 账 户 ， 也 就 是 查 看 u s e r 表 、 d b 表 中 的 g r a n t _ p r i v 字 段 。 赋 予 用 户 权 限 的 时 候 ， 加 上 W i t h   G r a n t   O p t i o n ， 即 该 用 户 则 拥 有 了 将 获 得 的 权 限 再 赋 予 其 它 人 的 权 限 （ 其 实 就 是 同 时 修 改 了 g r a n t _ p r i v 字 段 ） ： 比 如 对 于 测 评 项 而 言 ， 也 就 看 数 据 库 内 是 否 设 置 了 此 类 账 户 ， 由 此 类 账 户 （ 安 全 管 理 员 ） 来 制 定 访 问 控 制 策 略 。 八 、 测 评 项 八 、 测 评 项 f f ) 访 问 控 制 的 粒 度 应 达 到 主 体 为 用 户 级 或 进 程 级 ， 客 体 为 文 件 、 数 据 库 表 级 ； 就 是 看 权 限 控 制 粒 度 ， 对 于 客 体 ， 要 看 是 否 达 到 了 数 据 库 表 的 级 别 ， 也 即 单 独 对 数 据 库 表 设 置 权 限 （ 视 图 、 存 储 过 程 也 可 以 ） 。 如 果 仅 达 到 了 数 据 库 级 别 或 者 服 务 器 级 别 的 权 限 ， 那 肯 定 是 不 符 合 要 求 的 。 至 于 主 体 就 不 说 了 ， M y S Q L 中 也 没 存 在 用 户 组 。 九 、 测 评 项 九 、 测 评 项 g g ) 应 对 重 要 主 体 和 客 体 设 置 安 全 标 记 ， 并 控 制 主 体 对 有 安 全 标 记 信 息 资 源 的 访 问 。 M y S Q L 自 身 应 该 不 具 备 这 个 功 能 ， 可 能 要 依 靠 操 作 系 统 或 者 第 三 方 的 什 么 软 件 来 实 现 了 。 关 于 安 全 标 记 ， 可 以 看 看 等 保 测 评 2 . 0 ： W i n d o w s 访 问 控 制 中 测 评 项 g 中 的 内 容 。 实 际 测 评 中 ， 基 本 上 就 没 有 能 实 现 的 ， 不 过 也 不 用 太 在 意 ， 因 为 这 一 个 测 评 项 不 属 于 高 风 险 项 。 * 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 于 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 m y s q l > g r a n t   a l l   o n   * . *   t o   t e s t @ ’ 1 9 2 . 1 6 8 . 1 . 2 0 ’   i d e n t i f i e d   b y   ‘ 1 2 3 4 5 6 ’   W I T H   G R A N T   O P T I O N m y s q l > f l u s h   p r i v i l e g e s ; 结 果 显 示 ： G r a n t _ p r i v 为 " Y "
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 22:27 , Processed in 0.613185 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表