CN107590253A - 一种针对MySQL数据库配置安全性的自动化检测方法 - Google Patents

Abstract

本发明公开一种针对MySQL数据库配置安全性的自动化检测方法，涉及WEB安全技术，通过执行mysql脚本实现了对MySQL数据库配置项一键式自动化检测；首先获取MySQL数据库的版本信息；检测MySQL用户账号权限，若为root用户、存在可远程登陆的用户则提示安全风险；若非管理员用户具有特权则提示安全风险；搜索MySQL各安装配置目录，若启用mysql命令行历史记录功能则提示安全风险；若MySQL数据库存放于系统分区则提示安全风险；若MySQL数据库没有开启错误日志记录功能则提示安全风险。本发明改善了人工检测MySQL数据库配置效率低和检测不全面的问题，提高了检测的全面性和检测效率。

Description

一种针对MySQL数据库配置安全性的自动化检测方法

技术领域

本发明涉及WEB安全技术，具体的说是一种针对MySQL数据库配置安全性的自动化检测方法。

背景技术

MySQL是一个关系型数据库管理系统，是最流行的关系型数据库管理系统之一，在WEB 应用方面，MySQL是最好的 RDBMS (Relational Database Management System，关系数据库管理系统) 应用软件。MySQL相比于其他的数据库管理系统，MySQL具有小巧、功能齐全、查询迅捷等优点。

但是，MySQL同其他数据库一样，也存在安全缺陷。近几年，MySQL拖库现象频发，黑客盗取数据库的技术也在不断提升。除了平时及时进行安全补丁，版本更新之外，确保MySQL数据库的配置安全对于提升产品的安全性来说至关重要。目前，针对MySQL数据库的配置安全性，往往是通过测试人员人工检测，不利于检测流程的快速实施，同时避免不了人为失误，造成检测不准确或不全面等问题。

发明内容

本发明针对目前技术发展的需求和不足之处，提供一种针对MySQL数据库配置安全性的自动化检测方法。

本发明所述一种针对MySQL数据库配置安全性的自动化检测方法，解决上述技术问题采用的技术方案如下：所述针对MySQL数据库配置安全性的自动化检测方法，使用shell和SQL语言编写的mysql脚本，对MySQL数据库配置文件分析，系统命令执行和数据分析，完成对MySQL数据库配置项一键式自动化检测，包括：

步骤一，获取已安装MySQL数据库的版本信息；

步骤二，检测MySQL用户账号权限，查看是否为root用户，若是则提示安全风险；是否存在可远程登陆的用户，若存在则提示安全风险；

步骤三，查看非管理员用户的权限，若具有特权则提示安全风险；

步骤四，搜索MySQL各安装配置目录，查看是否启用mysql命令行历史记录功能，若启用则提示安全风险；

步骤五，检测MySQL目录权限，查看MySQL数据库是否存在系统分区，若存在则提示安全风险；

步骤六，检测日志，查看MySQL数据库是否开启错误日志记录功能，若没有则提示安全风险。

进一步，步骤一，用户输入Apache http server的安装路径参数，检测已安装MySQL数据库的版本信息；执行命令mysql-v，然后通过awk和sed指令提取并输出MySQL数据库的版本信息至结果文件。

进一步，步骤二，首先启动MySQL脚本，执行ps -ef指令查看进程，再通过grep指令抓取MySQL进程对应的用户，若为root用户，则在结果文件中输出以提示安全风险；

进一步，步骤二，查看是否存在可远程登录的用户，使用select指令找到数据库用户的IP地址，即select user,host from mysql.user，判断是否为localhost，若不是，即存在可远程登录的用户，在结果文件中输出以提示安全风险。

进一步，步骤三，查看非管理员用户的权限，若具有查询所有用户的命令执行信息，设置全局变量、管理员调试，关闭数据库，创建或删除其他用户，修改其他用户的权限，读取数据库所在主机的本地文件等特权中的任何一种，则在结果文件中输出以提示安全风险。

进一步，步骤四，搜索MySQL各安装配置目录，查看是否包含.bash_history和.mysql_history文件，若包含，则已启用mysql命令行历史记录功能，存在信息泄露风险，在结果文件中输出以提示安全风险。

进一步，步骤五，查看MySQL数据库是否存放在系统分区：分别使用show指令和df指令得到MySQL数据库所在的目录和分区，判断该分区是否为系统分区，若是则在结果文件中输出以提示安全风险；

然后，使用stat --printf指令，得到数据目录的访问权限，确认其权限是否为700，若不是，则在结果文件中输出以提示安全风险。

进一步，步骤六，首先查看MySQL数据库是否开启错误日志记录功能，使用showvariables指令查看是否含有log_error，若没有，则MySQL未开启错误日志记录功能，在结果文件中输出以提示安全风险；

然后查看日志文件的访问权限，确认其权限是否为660，若不是，则在结果文件中输出以提示安全风险；最后查看日志文件的存放路径，确认是否为系统区域，若是，则在结果文件中输出以提示安全风险。

进一步，针对MySQL数据库配置安全性的自动化检测方法，还包括对于缺省安装的MySQL数据库进行检测的步骤；

对于缺省安装的MySQL数据库，首先查看其是否存在空账号、不需要密码即可登录的用户或弱密码用户、test数据库，若存在则在结果文件中输出以提示安全风险。

进一步，针对MySQL数据库配置安全性的自动化检测方法，还包括检测MySQL数据库能否对本地文件进行读取的步骤；

通过查看MySQL的配置文件my.cnf，确认local_infile指令是否为禁用状态，若没有禁用，则在结果文件中输出以提示安全风险。

本发明所述一种针对MySQL数据库配置安全性的自动化检测方法，与现有技术相比具有的有益效果是：本发明适用于Linux平台下MySQL数据库的配置检测，针对MySQL数据库配置中存在的安全问题，使用shell、SQL语言编写脚本，实现对MySQL数据库配置的自动化检测，改善了人工检测效率低和检测不全面的问题，提高了MySQL数据库的软件产品检测的全面性和检测效率。

附图说明

为了更清楚的说明本发明实施例或现有技术中的技术内容，下面对本发明实施例或现有技术中所需要的附图做简单介绍。显而易见的，下面所描述附图仅仅是本发明的一部分实施例，对于本领域技术人员来说，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图，但均在本发明的保护范围之内。

附图1为实施例3针对MySQL数据库配置安全性的自动化检测方法的示意图。

具体实施方式

为使本发明的技术方案、解决的技术问题和技术效果更加清楚明白，以下结合具体实施例，对本发明的技术方案进行清查、完整的描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下获得的所有实施例,都在本发明的保护范围之内。

实施例1:

本实施例提出一种针对MySQL数据库配置安全性的自动化检测方法，具体实现流程包括：

步骤一，获取已安装MySQL数据库的版本信息；

步骤二，检测MySQL用户账号权限，查看是否为root用户，若是则提示安全风险；是否存在可远程登陆的用户，若存在则提示安全风险；

步骤三，查看非管理员（root）用户的权限，若具有特权则提示安全风险；

步骤四，搜索MySQL各安装配置目录，查看是否启用mysql命令行历史记录功能，若启用则提示安全风险；

步骤五，检测MySQL目录权限，查看MySQL数据库是否存在系统分区，若存在则提示安全风险；

步骤六，检测日志，查看MySQL数据库是否开启错误日志记录功能，若没有则提示安全风险。

本实施例针对MySQL数据库配置安全性的自动化检测方法，针对MySQL数据库配置安全性问题，使用shell和SQL语言编写mysql脚本，通过对MySQL数据库配置项的一键式自动化检测，改善了人工检测效率低和检测不全面的问题，提高了检测效率和检测全面性。

实施例2：

本实施例提出的一种针对MySQL数据库配置安全性的自动化检测方法，在实施例1的基础上，增加了各个步骤具体实施的一种技术方案，进一步完善了自动化检测方法，使得MySQL数据库配置安全性的检测更具实用性。

本实施例提出的针对MySQL数据库配置安全性的自动化检测方法，具体实现过程包括:

步骤一，获取MySQL数据库的版本信息；

具体的，用户输入Apache http server的安装路径参数，检测已安装MySQL数据库的版本信息，通过执行MySQL数据库安装目录下bin目录中的mysql脚本，获取MySQL数据库的版本，即执行命令mysql-v，然后通过awk和sed指令提取并输出MySQL数据库的版本信息至结果文件。

步骤二，检测MySQL用户账号权限，查看是否为root用户，若是则提示安全风险；是否存在可远程登陆的用户，若存在则提示安全风险；

具体的，首先启动MySQL脚本（执行service mysql start指令），执行ps -ef指令查看进程，再通过grep指令抓取MySQL进程对应的用户，若为root用户，则在结果文件中输出以提示安全风险；然后查看是否存在可远程登录的用户，使用select指令找到数据库用户的IP地址，即select user,host from mysql.user，判断是否为localhost，若不是，即存在可远程登录的用户，在结果文件中输出以提示安全风险。

步骤三，查看非管理员（root）用户的权限，若具有非正常权限则提示安全风险；

具体的，查看非管理员用户的权限（select指令），若具有查询所有用户的命令执行信息（process_priv），设置全局变量、管理员调试（super_priv），关闭数据库（shutdown_priv），创建或删除其他用户（create_user_priv），修改其他用户的权限（grant_priv），读取数据库所在主机的本地文件（file_priv）等特权中的任何一种，则在结果文件中输出以提示安全风险。

步骤四，搜索MySQL各安装配置目录，查看是否启用mysql命令行历史记录功能，若启用则提示安全风险；

具体的，搜索MySQL各安装配置目录（如var，bin，dev，proc等目录），查看是否包含.bash_history和.mysql_history等文件，若包含，说明已启用mysql命令行历史记录功能，存在信息泄露风险，在结果文件中输出以提示安全风险。

步骤五，检测MySQL目录权限，查看MySQL数据库是否存在系统分区，若存在则提示安全风险；

具体的，首先查看MySQL数据库是否存放在系统分区，分别使用show指令和df指令得到MySQL数据库所在的目录和分区，判断该分区是否为系统分区（"/"、"/var"、"/usr"），若是，则在结果文件中输出以提示安全风险；

在此基础上，使用stat --printf指令，得到数据目录的访问权限，确认其权限是否为700，若不是，则在结果文件中输出以提示安全风险。

步骤六，检测日志，查看MySQL数据库是否开启错误日志记录功能，若没有则提示安全风险；

具体的，首先查看MySQL数据库是否开启错误日志记录功能，使用show variables指令查看是否含有log_error，若没有，则说明MySQL未开启错误日志记录功能，无法分析数据库运行过程中的一些异常活动，存在安全隐患，在结果文件中输出以提示安全风险；

然后查看日志文件的存放路径（通过select命令得到），确认是否为系统区域（"/"、"/var"、"/usr"），若是，则在结果文件中输出以提示安全风险；

最后查看日志文件（包括通用日志、错误日志、慢查询日志、审计日志、二进制日志）的访问权限（执行stat --printf指令），确认其权限是否为660，如果不是，则在结果文件中输出以提示安全风险。

本实施例针对MySQL数据库配置安全性的自动化检测方法，针对MySQL数据库配置安全性问题，使用shell和SQL语言编写mysql脚本，实现了对MySQL数据库配置文件分析，系统命令执行和数据分析的自动化过程，适用于linux平台下MySQL数据库的配置检测，通过对MySQL数据库配置项的一键式自动化检测，改善了人工检测效率低和检测不全面的问题。

实施例3：

本实施例提出的一种针对MySQL数据库配置安全性的自动化检测方法，在实施例2的基础上，增加了对于缺省安装的MySQL数据库进行检测的步骤，以及检测MySQL数据库是否对本地文件进行读取，进一步完善了自动化检测方法，使得MySQL数据库配置安全性的检测更加全面。

本实施例提出的针对MySQL数据库配置安全性的自动化检测方法，其技术内容与实施例2可以相互参照，如附图1所示，具体实现过程包括:

步骤一，获取已安装MySQL数据库的版本信息，输出版本信息至结果文件；

步骤二，对于缺省安装的MySQL数据库进行检测；

具体的，对于缺省安装的MySQL数据库，首先查看其是否存在空账号（user =' '）、不需要密码即可登录的用户或弱密码用户（old_passwords）、test数据库，若存在则在结果文件中输出以提示安全风险。

步骤三，检测MySQL用户账号权限，查看是否为root用户，若是则提示安全风险；检测是否存在可远程登陆的用户，若存在则提示安全风险；

步骤四，查看非管理员（root）用户的权限，若具有特权则提示安全风险；

步骤五，搜索MySQL各安装配置目录，查看是否启用mysql命令行历史记录功能，若启用则提示安全风险；

步骤六，检测MySQL数据库能否对本地文件进行读取，若能则提示安全风险；

具体的，通过查看MySQL的配置文件my.cnf，确认local_infile指令（执行showvariables指令）是否为禁用（off）状态，若没有禁用，则在结果文件中输出以提示安全风险。若是MySQL数据库提供对本地文件的读取功能，该操作令会利用MySQL把本地文件读到数据库中，然后用户就可以非法获取敏感信息。

步骤七，检测MySQL目录权限，首先查看MySQL数据库是否存在系统分区，若存在则提示安全风险；然后，检测数据目录的访问权限，若不是700，则输出安全风险至结果文件。

步骤八，检测日志

首先,查看MySQL数据库是否开启错误日志记录功能，若没有则提示安全风险；

然后，检测日志文件是否存放在系统区域，若是则输出安全风险至结果文件；最后，检测日志文件访问权限，若不是660，则输出安全风险至结果文件。

以上应用具体个例对本发明的原理及实施方式进行了详细阐述，这些实施例只是用于帮助理解本发明的核心技术内容，并不用于限制本发明的保护范围，本发明的技术方案不限制于上述具体实施方式内。基于本发明的上述具体实施例，本技术领域的技术人员在不脱离本发明原理的前提下，对本发明所作出的任何改进和修饰，皆应落入本发明的专利保护范围。

Claims (10)

1.一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于, 使用shell和SQL语言编写的mysql脚本，对MySQL数据库配置文件分析、系统命令执行和数据分析，完成对MySQL数据库配置项一键式自动化检测，包括：

步骤一，获取已安装MySQL数据库的版本信息；

步骤二，检测MySQL用户账号权限，查看是否为root用户，若是则提示安全风险；是否存在可远程登陆的用户，若存在则提示安全风险；

步骤三，查看非管理员用户的权限，若具有特权则提示安全风险；

步骤四，搜索MySQL各安装配置目录，查看是否启用mysql命令行历史记录功能，若启用则提示安全风险；

步骤五，检测MySQL目录权限，查看MySQL数据库是否存放于系统分区，若是则提示安全风险；

步骤六，检测日志，查看MySQL数据库是否开启错误日志记录功能，若没有则提示安全风险。

2.根据权利要求1所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,所述步骤一：

用户输入Apache http server的安装路径参数，检测已安装MySQL数据库的版本信息；执行命令mysql-v，然后通过awk和sed指令提取并输出MySQL数据库的版本信息至结果文件。

3.根据权利要求2所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,所述步骤二：

启动所述MySQL脚本，执行ps -ef指令查看进程，再通过grep指令抓取MySQL进程对应的用户，若为root用户，则在结果文件中输出以提示安全风险。

4.根据权利要求3所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,所述步骤二：

查看是否存在可远程登录的用户，使用select指令找到数据库用户的IP地址，判断是否为localhost，若不是，即存在可远程登录的用户，则在结果文件中输出以提示安全风险。

5.根据权利要求4所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,所述步骤三：

查看非管理员用户的权限，若存在查询所有用户的命令执行信息，设置全局变量、管理员调试，关闭数据库，创建或删除其他用户，修改其他用户的权限，读取数据库所在主机的本地文件特权中的任何一种，则在结果文件中输出以提示安全风险。

6.根据权利要求5所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,所述步骤四：

搜索MySQL各安装配置目录，查看是否包含.bash_history和.mysql_history文件，若包含，则已启用mysql命令行历史记录功能，在结果文件中输出以提示安全风险。

7.根据权利要求6所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,所述步骤五：

查看MySQL数据库是否存放在系统分区：分别使用show指令和df指令得到MySQL数据库所在的目录和分区，判断该分区是否为系统分区，若是则在结果文件中输出以提示安全风险；

然后，使用stat --printf指令，得到数据目录的访问权限，确认其权限是否为700，若不是，则在结果文件中输出以提示安全风险。

8.根据权利要求7所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,所述步骤六：

首先查看MySQL数据库是否开启错误日志记录功能，使用show variables指令查看是否含有log_error，若没有，则MySQL未开启错误日志记录功能，在结果文件中输出以提示安全风险；

然后，查看日志文件的存放路径，确认是否为系统区域，若是，则在结果文件中输出以提示安全风险；最后查看日志文件的访问权限，确认其权限是否为660，若不是，则在结果文件中输出以提示安全风险。

9.根据权利要求8所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,还包括对于缺省安装的MySQL数据库进行检测的步骤；

对于缺省安装的MySQL数据库，首先查看其是否存在空账号、不需要密码即可登录的用户或弱密码用户、test数据库，若存在则在结果文件中输出以提示安全风险。

10.根据权利要求9所述一种针对MySQL数据库配置安全性的自动化检测方法，其特征在于,还包括检测MySQL数据库能否对本地文件进行读取的步骤；

通过查看MySQL的配置文件my.cnf，确认local_infile指令是否为禁用状态，若没有禁用，则在结果文件中输出以提示安全风险。