正文

360员工数据库密码裸奔事件 MySQL安全加固实战从端口暴露到权限管理一篇搞定

/0 浏览量
0920

360员工数据库密码裸奔事件 MySQL安全加固实战从端口暴露到权限管理一篇搞定

事件回顾：一个让安全圈沉默的教训

2023年，一家知名互联网企业的内部数据库曝出安全问题，数万员工的敏感信息因为MySQL配置不当而暴露在互联网上。问题出得很简单——数据库端口对公网开放，且弱口令几乎等于没设防线。黑客只需要一个端口扫描工具，配合几个常见的弱密码字典，就能轻松登录并导出数据。

这件事给我们所有人都敲响了警钟：数据库安全从来不是”万一被黑”的概率问题，而是”迟早会被发现”的必然问题。

今天这篇文章，我们不讲空洞的理论，直接从端口暴露到权限管理，把MySQL安全加固的每个细节都讲清楚。

第一部分：端口暴露——你的数据库正在”裸奔”

1.1 默认端口的代价

MySQL默认监听3306端口。这是一个常识，但正因如此，大量的扫描工具都把这个端口作为重点目标。

真实的攻击路径是这样的：

黑客工具扫描 → 发现3306端口开放 → 尝试弱密码登录 → 成功获取数据库权限

很多公司运维人员为了方便，把生产环境的MySQL直接暴露在公网，或者绑定了0.0.0.0这样的全接口地址。这是最大的安全隐患之一。

1.2 如何检查你的MySQL是否端口暴露

首先，你要知道你的数据库现在处于什么状态。

# 检查MySQL端口监听状态
netstat -tlnp | grep 3306

# 或者使用ss命令
ss -tlnp | grep 3306

# 从外部测试端口连通性
telnet your_server_ip 3306

# 使用nmap扫描（如果你能访问自己的服务器）
nmap -p 3306 your_server_ip

如果输出显示0.0.0.0:3306或:::3306，说明你的MySQL监听了所有网络接口，这意味着任何能到达你服务器的IP都可以尝试连接。

1.3 正确的绑定方式

在my.cnf（MySQL配置文件）中，修改bind-address参数：

# 只允许本地连接
bind-address = 127.0.0.1

# 或者只允许特定内网网段连接
bind-address = 10.0.0.0

修改后重启MySQL：

sudo systemctl restart mysql
# 或者
sudo service mysql restart

更安全的做法是使用防火墙限制：

# 使用iptables只允许特定IP访问3306端口
sudo iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 3306 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 3306 -j DROP

# 如果使用firewalld
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="3306" protocol="tcp" accept'
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="3306" protocol="tcp" drop'
sudo firewall-cmd --reload

这样即使MySQL绑定在0.0.0.0，外部也无法直接访问，只有内网白名单IP才能连接。

1.4 生产环境的网络架构建议

在生产环境中，永远不要让数据库直接暴露在公网。标准的架构应该是：

互联网用户 → 负载均衡/CDN → Web服务器 → 内网MySQL
                                    ↑
                          （通过跳板机/堡垒机访问）

Web服务器和数据库之间应该通过内网通信，数据库只监听内网IP。运维人员如果需要管理数据库，应该通过堡垒机跳转，而不是直连数据库服务器。

第二部分：账号与密码——第一道防线的崩塌

2.1 弱密码的致命危害

很多数据库管理员为了方便，使用了类似这样的密码：

  • root
  • 123456
  • password
  • mysql
  • admin123

这些信息在黑客的密码字典里排在前几位。一旦数据库端口暴露，弱密码账号会在几分钟内被攻破。

2.2 强制密码策略

MySQL 5.6及以上版本提供了密码验证插件，可以强制设置复杂密码。

# 在my.cnf中添加
[mysqld]
plugin-load = validate_password.so
validate_password_policy = STRONG
validate_password_length = 16
validate_password_mixed_case_count = 1
validate_password_number_count = 1
validate_password_special_char_count = 1
validate_password_digit_count = 1

配置说明：

  • STRONG策略要求：密码必须包含大小写字母、数字和特殊字符，且长度至少16位
  • MEDIUM策略要求：密码必须包含大小写字母、数字，且长度至少8位
  • LOW策略只要求密码长度至少8位

重启MySQL使配置生效：

sudo systemctl restart mysql

验证密码策略是否生效：

SHOW VARIABLES LIKE 'validate_password%';

2.3 密码强度的正确示例

弱密码（立即修改）：
root
password123
Admin@123

强密码（推荐）：
Kj9#mP2$vL5nQ8@x
Tr4!wX7&yZ1*cB6%

2.4 禁用默认账号

MySQL安装后会默认创建一个root@localhost账号，很多安装教程会设置弱密码或空密码。生产环境必须立即修改。

-- 修改root密码
ALTER USER 'root'@'localhost' IDENTIFIED BY '你的强密码';

-- 删除匿名账号
DROP USER ''@'localhost';
DROP USER ''@'your_hostname';

-- 删除测试数据库
DROP DATABASE test;

2.5 定期更换密码

不要一个密码用几年。建议：

  • 管理员密码每90天更换一次
  • 应用账号密码每180天更换一次
  • 使用密码管理工具记录，不要写在文档里

第三部分：权限管理——最小权限原则的落地

3.1 权限过大的危害

很多开发者为了方便，给应用账号授予了ALL PRIVILEGES甚至root权限。这是一个巨大的风险——一旦应用被注入或黑客获取了应用账号的密码，他们就拥有数据库的全部控制权。

3.2 创建最小权限账号

业务账号（只读）：

-- 创建只读账号
CREATE USER 'readonly_app'@'192.168.1.%' IDENTIFIED BY 'Kj9#mP2$vL5nQ8@x';

-- 只授予SELECT权限
GRANT SELECT ON your_database.* TO 'readonly_app'@'192.168.1.%';

-- 刷新权限
FLUSH PRIVILEGES;

业务账号（读写）：

-- 创建读写账号
CREATE USER 'write_app'@'192.168.1.%' IDENTIFIED BY 'Tr4!wX7&yZ1*cB6%';

-- 只授予特定表的增删改查权限
GRANT SELECT, INSERT, UPDATE, DELETE ON your_database.users TO 'write_app'@'192.168.1.%';
GRANT SELECT, INSERT, UPDATE, DELETE ON your_database.orders TO 'write_app'@'192.168.1.%';

-- 禁止其他所有权限
REVOKE ALL PRIVILEGES ON your_database.* FROM 'write_app'@'192.168.1.%';

-- 刷新权限
FLUSH PRIVILEGES;

注意： 这里先授予再收回，是为了确保账号没有任何默认权限，只拥有我们明确授予的权限。

3.3 权限核查清单

定期检查哪些账号拥有哪些权限：

-- 查看所有用户账号
SELECT User, Host FROM mysql.user;

-- 查看每个账号的权限
SHOW GRANTS FOR 'write_app'@'192.168.1.%';

-- 查看拥有高危权限的账号
SELECT User, Host FROM mysql.user 
WHERE Super_priv='Y' 
   OR Create_tmp_table_priv='Y' 
   OR File_priv='Y'
   OR Grant_priv='Y';

3.4 高危权限的解释

权限 风险说明
FILE 可以读写服务器文件，可能导致任意文件读取或写入webshell
SUPER 可以管理服务器，包括杀死其他连接、修改全局变量
CREATE USER 可以创建新账号，可能用于提权或持久化访问
Grant 可以给其他账号授权，可能用于权限扩散
PROCESS 可以看到所有用户的当前查询，可能泄露敏感SQL
Reload 可以重载配置，可能用于绕过安全设置

3.5 应用账号的最佳实践

每个应用应该使用独立的账号，而不是多个应用共用一个账号：

-- 为不同的服务创建独立的账号
CREATE USER 'web_app'@'192.168.1.%' IDENTIFIED BY 'Web#App9$kL2@mN5';
GRANT SELECT, INSERT, UPDATE ON app_database.* TO 'web_app'@'192.168.1.%';

CREATE USER 'api_service'@'192.168.1.%' IDENTIFIED BY 'Api#Svc7$pQ4@rT8';
GRANT SELECT, INSERT, UPDATE, DELETE ON api_database.* TO 'api_service'@'192.168.1.%';

CREATE USER 'report_job'@'192.168.1.%' IDENTIFIED BY 'Rpt#Job3$vW6@xY9';
GRANT SELECT ON report_database.* TO 'report_job'@'192.168.1.%';

第四部分：审计与监控——让攻击无所遁形

4.1 开启通用日志审计

生产环境建议开启MySQL的通用查询日志，用于审计和排查问题：

# 在my.cnf中配置
[mysqld]
general_log = 1
general_log_file = /var/log/mysql/general.log
log_output = FILE

如果需要更精确的控制，可以开启针对特定用户的审计：

-- 审计所有root用户的登录行为
AUDIT LOG FILTER ADD root ALL TO 'root_audit';

4.2 慢查询日志的安全意义

慢查询日志不仅能优化性能，还能发现异常查询：

[mysqld]
slow_query_log = 1
slow_query_log_file = /var/log/mysql/slow.log
long_query_time = 2

如果看到大量来自某个IP的异常查询，可能是攻击行为。

4.3 登录失败的监控

-- 查看最近的登录失败记录
SELECT * FROM mysql.general_log 
WHERE argument LIKE '%Access denied%' 
ORDER BY event_time DESC 
LIMIT 20;

-- 查看当前连接
SHOW PROCESSLIST;

-- 查看远程连接
SELECT user, host, db FROM information_schema.processes 
WHERE db IS NOT NULL AND host NOT LIKE 'localhost%';

4.4 使用MySQL Enterprise Audit（或开源替代）

如果使用MySQL商业版，可以启用企业审计插件：

-- 安装审计插件
INSTALL PLUGIN audit_log SERVER;

-- 配置审计策略
SET GLOBAL audit_log_policy = 'DEFAULT';
SET GLOBAL audit_log_flush = 'OFF';

对于开源用户，可以使用mcaudit等第三方审计工具。

第五部分：数据传输安全——加密传输的必要

5.1 强制SSL/TLS连接

明文传输的SQL查询可能被中间人截获，尤其是在跨机房或云环境中。强制SSL连接可以解决这个问题：

# 在my.cnf中配置
[mysqld]
require_secure_transport = ON
ssl-ca = /etc/mysql/ssl/ca.pem
ssl-cert = /etc/mysql/ssl/server-cert.pem
ssl-key = /etc/mysql/ssl/server-key.pem

5.2 生成SSL证书

# 生成CA证书
openssl req -newkey rsa:2048 -days 3650 -nodes -x509 \
  -keyout ca-key.pem -out ca.pem \
  -subj "/CN=MySQL CA"

# 生成服务器证书
openssl req -newkey rsa:2048 -days 365 -nodes -x509 \
  -keyout server-key.pem -out server-cert.pem \
  -subj "/CN=MySQL Server"

# 生成客户端证书
openssl req -newkey rsa:2048 -days 365 -nodes \
  -keyout client-key.pem -out client-cert.pem \
  -subj "/CN=MySQL Client"

5.3 要求特定账号使用SSL

-- 创建需要使用SSL的账号
CREATE USER 'secure_app'@'192.168.1.%' 
IDENTIFIED BY 'S3cur3#P@ssw0rd!' 
REQUIRE SSL;

-- 或者要求X509证书认证
CREATE USER 'cert_app'@'192.168.1.%' 
IDENTIFIED BY 'C3rt#P@ssw0rd!' 
REQUIRE X509;

GRANT SELECT ON your_database.* TO 'secure_app'@'192.168.1.%';
FLUSH PRIVILEGES;

5.4 客户端连接时指定SSL

# 命令行连接时启用SSL
mysql -h 192.168.1.100 -u secure_app -p --ssl-ca=ca.pem --ssl-cert=client-cert.pem --ssl-key=client-key.pem

# 在应用程序连接字符串中启用SSL
# JDBC示例
jdbc:mysql://192.168.1.100:3306/your_database?useSSL=true&requireSSL=true&sslCert=ca.pem

# Python示例
import pymysql
connection = pymysql.connect(
    host='192.168.1.100',
    user='secure_app',
    password='S3cur3#P@ssw0rd!',
    database='your_database',
    ssl_ca='/path/to/ca.pem',
    ssl_cert='/path/to/client-cert.pem',
    ssl_key='/path/to/client-key.pem'
)

第六部分：漏洞补丁与版本管理

6.1 保持MySQL版本更新

老旧版本的MySQL存在已知漏洞，黑客可以利用这些漏洞绕过安全限制。

# 查看当前MySQL版本
mysql --version

# 查看版本信息
SELECT VERSION();

目前推荐的版本：

  • MySQL 8.0.x（长期支持版本，安全性最好）
  • MySQL 5.7.x（已停止主流支持，建议升级）
  • MySQL 5.6.x及更早版本（已停止支持，必须升级）

6.2 定期检查安全补丁

# Debian/Ubuntu系统
sudo apt update
sudo apt upgrade mysql-server

# CentOS/RHEL系统
sudo yum update mysql-server
# 或
sudo dnf update mysql-server

6.3 安全加固检查脚本

创建一个自动检查脚本，定期运行：

#!/bin/bash
# mysql_security_check.sh

echo "=== MySQL安全加固检查 ==="

# 检查MySQL是否运行
if ! pgrep -x mysqld > /dev/null; then
    echo "[危险] MySQL服务未运行"
    exit 1
fi

# 检查bind-address
echo "[检查] 绑定地址配置:"
grep -E "bind-address" /etc/mysql/mysql.conf.d/mysqld.cnf || \
grep -E "bind-address" /etc/my.cnf || \
echo "  未找到bind-address配置，可能绑定所有接口"

# 检查是否有空密码账号
echo "[检查] 空密码账号:"
mysql -u root -p"你的root密码" -e "SELECT User, Host FROM mysql.user WHERE Password='';" 2>/dev/null

# 检查远程root账号
echo "[检查] 远程root账号:"
mysql -u root -p"你的root密码" -e "SELECT User, Host FROM mysql.user WHERE User='root' AND Host!='localhost' AND Host!='127.0.0.1';" 2>/dev/null

# 检查匿名账号
echo "[检查] 匿名账号:"
mysql -u root -p"你的root密码" -e "SELECT User, Host FROM mysql.user WHERE User='';" 2>/dev/null

# 检查密码策略
echo "[检查] 密码策略:"
mysql -u root -p"你的root密码" -e "SHOW VARIABLES LIKE 'validate_password%';" 2>/dev/null

# 检查SSL状态
echo "[检查] SSL状态:"
mysql -u root -p"你的root密码" -e "SHOW VARIABLES LIKE '%ssl%';" 2>/dev/null

echo "=== 检查完成 ==="

第七部分：实战演练——从零开始加固一台MySQL服务器

7.1 环境准备

假设你有一台新的CentOS服务器，刚刚安装了MySQL 8.0：

# 安装MySQL
sudo yum install -y mysql-server

# 启动MySQL
sudo systemctl start mysqld
sudo systemctl enable mysqld

7.2 第一阶段：初始安全设置

MySQL安装后会生成一个临时密码，先找到它：

# 查看临时密码
sudo grep 'temporary password' /var/log/mysqld.log

使用临时密码登录并修改：

-- 登录
mysql -u root -p

-- 修改root密码（必须满足复杂度要求）
ALTER USER 'root'@'localhost' IDENTIFIED BY 'R00t#S3cur3!2024';

-- 禁用远程root登录
DROP USER 'root'@'%';

-- 删除匿名账号
DROP USER ''@'localhost';
DROP USER ''@'your_hostname';

-- 删除测试数据库
DROP DATABASE test;

-- 刷新权限
FLUSH PRIVILEGES;

7.3 第二阶段：配置网络与安全

# 编辑MySQL配置
sudo vi /etc/my.cnf

添加以下配置：

[mysqld]
# 网络绑定
bind-address = 127.0.0.1
# 如果需要通过内网访问，可以绑定内网IP
# bind-address = 10.0.0.100

# 端口
port = 3306

# 密码策略
plugin-load = validate_password.so
validate_password.policy = STRONG
validate_password.length = 16
validate_password.mixed_case_count = 1
validate_password.number_count = 1
validate_password.special_char_count = 1

# SSL配置
require_secure_transport = ON
ssl-ca = /etc/mysql/ssl/ca.pem
ssl-cert = /etc/mysql/ssl/server-cert.pem
ssl-key = /etc/mysql/ssl/server-key.pem

# 日志
general_log = 0  # 生产环境建议关闭，性能影响较大
slow_query_log = 1
slow_query_log_file = /var/log/mysql/slow.log
long_query_time = 2

# 其他安全设置
local_infile = 0  # 禁止本地文件导入
symbolic-links = 0  # 禁止符号链接

7.4 第三阶段：防火墙配置

# 停止firewalld（如果之前开启了3306端口）
sudo firewall-cmd --remove-port=3306/tcp --permanent

# 添加白名单规则
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="3306" protocol="tcp" accept'
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="3306" protocol="tcp" drop'
sudo firewall-cmd --reload

# 验证规则
sudo firewall-cmd --list-all

7.5 第四阶段：创建应用账号

-- 创建只读账号
CREATE USER 'readonly_app'@'192.168.1.%' 
IDENTIFIED BY 'R3ad0nly#App2024!';
GRANT SELECT ON your_database.* TO 'readonly_app'@'192.168.1.%';

-- 创建读写账号
CREATE USER 'write_app'@'192.168.1.%' 
IDENTIFIED BY 'Wr1t3#App2024!';
GRANT SELECT, INSERT, UPDATE, DELETE ON your_database.* TO 'write_app'@'192.168.1.%';

-- 创建管理账号（通过堡垒机访问）
CREATE USER 'dbadmin'@'10.0.0.0/8' 
IDENTIFIED BY 'DbAdm1n#2024!';
GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, INDEX, ALTER 
ON your_database.* TO 'dbadmin'@'10.0.0.0/8';

FLUSH PRIVILEGES;

7.6 第五阶段：验证安全配置

-- 验证密码策略
SHOW VARIABLES LIKE 'validate_password%';

-- 验证SSL状态
SHOW VARIABLES LIKE '%ssl%';

-- 验证绑定地址
SHOW VARIABLES LIKE 'bind_address';

-- 检查当前用户
SELECT user(), current_user();

-- 检查是否有远程root登录
SELECT User, Host FROM mysql.user WHERE User='root' AND Host!='localhost';

-- 检查空密码账号
SELECT User, Host FROM mysql.user WHERE authentication_string='';

第八部分：常见安全误区与纠正

误区一：”内网就是安全的”

内网攻击同样普遍。横向移动是黑客渗透的典型路径：先攻破一台边界服务器，然后在内网扫描数据库端口。内网也应该部署防火墙规则，数据库只允许特定IP访问。

误区二：”关闭了外网就安全了”

关闭外网只阻止了互联网上的扫描器，但无法阻止：

  • 内网恶意用户
  • 被攻破的应用服务器
  • 供应链攻击

多层防御才是正确思路。

误区三：”管理员不需要SSL连接”

管理账号的密码如果明文传输，一旦被捕获，管理员账号的权限极高。管理账号更应该使用SSL加密连接。

误区四：”定期备份就够了，安全不重要”

备份只能恢复数据，无法阻止数据泄露。安全配置和数据加密是预防数据泄露的关键。

误区三：”MySQL自带安全功能，不需要额外配置”

MySQL的安全功能是基础，但默认配置偏向可用性而非安全性。安全加固需要主动配置，不能依赖默认设置。

第九部分：应急响应——如果已经暴露怎么办

如果不幸发现数据库已经暴露，请按以下步骤处理：

9.1 立即隔离

# 切断数据库与外网的连接
# 方法一：修改防火墙规则，只允许本机访问
sudo iptables -A INPUT -p tcp --dport 3306 -j DROP
sudo iptables -A INPUT -p tcp -s 127.0.0.1 --dport 3306 -j ACCEPT

# 方法二：暂时停止MySQL服务
sudo systemctl stop mysqld

9.2 评估损失

-- 查看最近的登录记录
SELECT * FROM mysql.general_log 
ORDER BY event_time DESC 
LIMIT 100;

-- 查看当前所有连接
SHOW PROCESSLIST;

-- 查看敏感数据是否有异常访问
SELECT * FROM mysql.slow_log 
WHERE start_time > DATE_SUB(NOW(), INTERVAL 24 HOUR);

9.3 重置所有密码

-- 重置所有用户密码
ALTER USER 'root'@'localhost' IDENTIFIED BY '新强密码1!';
ALTER USER 'readonly_app'@'192.168.1.%' IDENTIFIED BY '新强密码2!';
ALTER USER 'write_app'@'192.168.1.%' IDENTIFIED BY '新强密码3!';

FLUSH PRIVILEGES;

9.4 检查是否有后门

-- 检查是否有新增的未知账号
SELECT User, Host FROM mysql.user;

-- 检查是否有异常的计划任务
SELECT * FROM mysql.event;

-- 检查是否有异常的全局变量
SHOW GLOBAL VARIABLES;

9.5 恢复服务

完成修复后，重新开放必要的访问，并加强监控：

# 恢复防火墙规则（只允许内网访问）
sudo iptables -A INPUT -p tcp -s 192.168.0.0/16 --dport 3306 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 3306 -j DROP

# 启动MySQL
sudo systemctl start mysqld

第十部分：安全加固检查清单

部署前检查

  • [ ] MySQL版本是否为最新稳定版（推荐8.0.x）
  • [ ] 是否已修改默认root密码
  • [ ] 是否已删除匿名账号
  • [ ] 是否已删除test数据库
  • [ ] bind-address是否已配置为仅限内网或本地
  • [ ] 是否已配置防火墙白名单
  • [ ] 是否已启用密码强度验证

运行中检查

  • [ ] 是否已为应用创建独立的最小权限账号
  • [ ] 是否已禁用远程root登录
  • [ ] 是否已启用SSL加密连接
  • [ ] 是否已关闭不需要的功能（local_infile、符号链接等）
  • [ ] 是否已配置慢查询日志
  • [ ] 是否已定期备份数据库

定期检查

  • [ ] 每月检查一次账号权限
  • [ ] 每季度更换一次密码
  • [ ] 每半年审查一次日志
  • [ ] 每年进行一次安全渗透测试

写在最后

360员工数据库密码裸奔事件的根源，不是技术的缺失，而是安全意识的缺失。数据库安全不是一次性的工作，而是一个持续的过程。端口暴露可以修复，弱密码可以更换，权限过大可以收紧，但如果不建立安全意识和规范流程，问题总会以另一种形式重现。

希望这篇文章能帮你建立起MySQL安全加固的系统认知。安全没有终点，但每一步正确的配置，都在让攻击者离你更远一点。

-- 展开阅读全文 --