B社前員工洩露《星空》細節：射擊不錯 畫面很棒
阿新 • • 發佈：2022-04-28
Linux 系統與資料庫安全
目錄
- 1. 帳號安全
- 1.1. Shell 安全
- 1.2. .history 檔案
- 2. 臨時檔案安全
- 3. 其他安全問題
- 4. 防火牆配置
- 5. 資料庫安全
- 5.3.1. 資料備份
- 5.3.2. 資料恢復
- 5.2.1. bind-address
- 5.2.2. mysql 管理
- 5.2.3. ~/.mysql_history
- 5.1. 資料庫程式安全
- 5.2. 資料庫客戶端安全
- 5.3. mysqldump 安全
- 5.4. crontab 定時備份指令碼於安全
- 5.5. 資料庫歸檔檔案
- 5.6. 開發與測試環境的資料庫安全問題
- 5.7. 與資料庫有關的伺服器安全問題
1. 帳號安全
帳號許可權安全
1.1. Shell 安全
需求：限制使用者許可權,僅提供一些linux常用命令，使用者監控linux系統於網路執行情況，不允許使用者ssh登入後隨意執行linux命令
- 使用者不能進入到Shell環境 例如普通使用者一旦登入web伺服器可以看到web程式中的資料庫配置
- 使用者可以瞭解OS工作狀態如記憶體,cpu,網路等等 例如：ping, tracepath, top, free, netstat
- 可以檢視系統部分日誌 例如：access.log, error.log, php-error.log ...
使用mgmt替代bash
#!/bin/bash TITLE="Client" #USER=$(whiptail --inputbox "User:" 8 60 --title "$TITLE" 3>&1 1>&2 2>&3) #PASSWD=$(whiptail --title "$TITLE" --passwordbox "Passsword:" 8 60 3>&1 1>&2 2>&3) COMMAND=$(whiptail --title "$TITLE" --menu "Administrator Tools" 22 50 10 "ping" "ping" "tracepath" "tracepath" "top" "top" "free" "free" "ps" "ps" "netstat" "netstat" "lsof" "lsof" "iftop" "iftop" "log" "log" 3>&1 1>&2 2>&3) function option(){ OPTION=$(whiptail --inputbox "COMMAND-LINE Options: " 8 60 --title "$TITLE" 3>&1 1>&2 2>&3) } function weblog(){ LOG=$(whiptail --title "$TITLE" --menu "Logs" 22 50 8 "/var/log/messages" "message" "/var/log/syslog" "syslog" "/var/log/nginx/access.log" "access.log" "/var/log/nginx/error.log" "error.log" 3>&1 1>&2 2>&3) } case $COMMAND in ping) option $COMMAND $OPTION ;; tracepath) option $COMMAND $OPTION ;; free) $COMMAND -m read ;; top|iftop) $COMMAND ;; log) weblog tail -f $LOG ;; ps|lsof) option $COMMAND $OPTION read ;; netstat) option $COMMAND $OPTION read ;; *) exit $? esac
Shell 啟動檔案，主要使用者隱藏 /srv/sbin/mgmt 檔案（針對菜鳥）
$ cat shell.c
#include <stdlib.h>
main()
{
for (;;){
system("/srv/sbin/mgmt");
}
} 編譯.c檔案
gcc shell.c -o /bin/nsh 新增Shell到/etc/shells
echo /bin/nsh >> /etc/shells 將使用者shell更改為我們剛剛建立的nsh
$ vim /etc/passwd www:x:33:33:www:/var/www:/bin/nsh
現在來作一個測試,如果正確應該現在為下面的TUI介面
ssh [email protected]
┌───────────────────┤ Client ├───────────────────┐
│ Administrator Tools │
│ │
│ ping ping │
│ tracepath tracepath │
│ top top │
│ free free │
│ ps ps │
│ netstat netstat │
│ lsof lsof │
│ iftop iftop │
│ log log │
│ │
│ │
│ <Ok> <Cancel> │
│ │
└────────────────────────────────────────────────┘ 提示
這裡採用的方式是給使用者提供一個介面的方式，另外還有更好的方案,你可以些一個Shell的外殼，你需要實現
- 與Shell相同的提示符
- 提供TAB補齊
- 上下游標鍵翻看歷史命令，左右游標改變位置，Home/End 鍵到行首與行尾
- Ctrl+R 搜尋， Ctrl+D 退出
- Ctrl+S,Ctrl+Q 等等
流程
使用者輸入 -> 關鍵字過濾 -> 放行 例如使用者輸入 cd / 經過過濾器後， cd /home/usr/
例如使用者輸入 cd /aaa 經過過濾器後， cd /home/usr/aaa
rm -rf /usr/local 提示拒絕等等
我已經使用python實現上面的大部分功能（因為python受到很多限制）如果使用C可以100%實現，需要你的想想力了
1.2. .history 檔案
SA的操作記錄問題
通過~/.bash_history檔案記錄系統管理員的操作記錄，定製.bash_history格式
HISTSIZE=1000
HISTFILESIZE=2000
HISTTIMEFORMAT="%Y-%m-%d-%H:%M:%S "
export HISTTIMEFORMAT 看看實際效果
$ history | head
1 2012-02-27-09:10:45 do-release-upgrade
2 2012-02-27-09:10:45 vim /etc/network/interfaces
3 2012-02-27-09:10:45 vi /etc/network/interfaces
4 2012-02-27-09:10:45 ping www.163.com 2. 臨時檔案安全
臨時檔案不應該有執行許可權
/tmp
/dev/sda3 /tmp ext4 nosuid，noexec，nodev，rw 0 0 同時使用符號連線將/var/tmp 指向 /tmp
/dev/shm
none /dev/shm tmpfs defaults，nosuid，noexec，rw 0 0 3. 其他安全問題
/etc/sudoers
Cmnd_Alias WEBMASTER = /usr/local/webserver/nginx/sbin/nginx, /usr/local/webserver/php/sbin/php-fpm, !/usr/local/webserver/mysql/bin/*
www localhost = NETWORKING, SERVICES, DELEGATING, PROCESSES, WEBMASTER
Cmnd_Alias Database = /usr/bin/mysqldump, /srv/mysql/bin/mysql, /u01/oracle/10.x.x/bin/sqlplus
oralce localhost = NETWORKING, SERVICES, DELEGATING, PROCESSES, WEBMASTER, Database 使用www使用者測試登入，無誤後修改SSH配置檔案，禁止root登入。
vim /etc/ssh/sshd_config
PermitRootLogin no 然後在測試從www su 到root
4. 防火牆配置
封鎖22等埠，避免相互跳轉
lokkit --enabled
iptables -F
iptables -A OUTPUT -p tcp -m multiport --dports 22,21,2049 -j REJECT
/etc/init.d/iptables save
iptables -L -n web 伺服器禁止使用ssh，作為跳板機
使用者將不能使用ssh命令登陸到其他電腦
5. 資料庫安全
我們以MySQL為例，講解怎樣控制DBA許可權。稍加修改即可用於oracle等伺服器
- DBA 沒有系統SSH帳號，只有資料庫帳號
- 系統管理員只能有SSH系統帳號，沒有資料庫帳號
- DBA 可備份資料庫，還原資料庫指定的備份檔案，但是接觸不到備份檔案
- DBA 有權重啟資料庫以及修復損壞庫/表文件，通過工具完成，而不是登入SSH執行命令
5.1. 資料庫程式安全
rpm, deb 等等包安裝mysql後預設許可權是 755
$ ll /usr/bin/mysql*
-rwxr-xr-x 1 root root 132132 2012-02-28 01:33 /usr/bin/mysql*
-rwxr-xr-x 1 root root 111572 2012-02-28 01:31 /usr/bin/mysqlaccess*
-rwxr-xr-x 1 root root 32468 2012-02-28 01:33 /usr/bin/mysqladmin*
-rwxr-xr-x 1 root root 2030768 2011-09-14 23:04 /usr/bin/mysql-admin*
lrwxrwxrwx 1 root root 10 2012-02-28 01:33 /usr/bin/mysqlanalyze -> mysqlcheck*
-rwxr-xr-x 1 root root 147288 2012-02-28 01:33 /usr/bin/mysqlbinlog*
-rwxr-xr-x 1 root root 12006 2012-02-28 01:31 /usr/bin/mysqlbug*
-rwxr-xr-x 1 root root 24940 2012-02-28 01:33 /usr/bin/mysqlcheck*
-rwxr-xr-x 1 root root 451016 2012-02-28 01:33 /usr/bin/mysql_client_test*
-rwxr-xr-x 1 root root 7246484 2012-02-28 01:33 /usr/bin/mysql_client_test_embedded*
-rwxr-xr-x 1 root root 4245 2012-02-28 01:31 /usr/bin/mysql_convert_table_format*
-rwxr-xr-x 1 root root 23943 2012-02-28 01:31 /usr/bin/mysqld_multi*
-rwxr-xr-x 1 root root 16642 2012-02-28 01:32 /usr/bin/mysqld_safe*
-rwxr-xr-x 1 root root 101636 2012-02-28 01:33 /usr/bin/mysqldump*
-rwxr-xr-x 1 root root 7402 2012-02-28 01:31 /usr/bin/mysqldumpslow*
-rwxr-xr-x 1 root root 3315 2012-02-28 01:31 /usr/bin/mysql_find_rows*
-rwxr-xr-x 1 root root 1261 2012-02-28 01:31 /usr/bin/mysql_fix_extensions*
-rwxr-xr-x 1 root root 5834 2012-02-28 01:31 /usr/bin/mysql_fix_privilege_tables*
-rwxr-xr-x 1 root root 32477 2012-02-28 01:31 /usr/bin/mysqlhotcopy*
-rwxr-xr-x 1 root root 24584 2012-02-28 01:33 /usr/bin/mysqlimport*
-rwxr-xr-x 1 root root 14657 2012-02-28 01:31 /usr/bin/mysql_install_db*
lrwxrwxrwx 1 root root 10 2012-02-28 01:33 /usr/bin/mysqloptimize -> mysqlcheck*
-rwxr-xr-x 1 root root 2006884 2011-09-14 23:04 /usr/bin/mysql-query-browser*
lrwxrwxrwx 1 root root 10 2012-02-28 01:33 /usr/bin/mysqlrepair -> mysqlcheck*
-rwxr-xr-x 1 root root 39016 2012-02-28 01:32 /usr/bin/mysqlreport*
-rwxr-xr-x 1 root root 8066 2012-02-28 01:31 /usr/bin/mysql_secure_installation*
-rwxr-xr-x 1 root root 17473 2012-02-28 01:31 /usr/bin/mysql_setpermission*
-rwxr-xr-x 1 root root 23716 2012-02-28 01:33 /usr/bin/mysqlshow*
-rwxr-xr-x 1 root root 45884 2012-02-28 01:33 /usr/bin/mysqlslap*
-rwxr-xr-x 1 root root 208148 2012-02-28 01:33 /usr/bin/mysqltest*
-rwxr-xr-x 1 root root 6960852 2012-02-28 01:33 /usr/bin/mysqltest_embedded*
-rwxr-xr-x 1 root root 1334028 2012-02-28 01:33 /usr/bin/mysql_tzinfo_to_sql*
-rwxr-xr-x 1 root root 64728 2012-02-28 01:33 /usr/bin/mysql_upgrade*
-rwxr-xr-x 1 root root 149836 2012-02-28 01:33 /usr/bin/mysql_waitpid*
-rwxr-xr-x 1 root root 2108 2012-02-22 01:28 /usr/bin/mysql-workbench*
-rwxr-xr-x 1 root root 9885312 2012-02-22 01:29 /usr/bin/mysql-workbench-bin*
-rwxr-xr-x 1 root root 3888 2012-02-28 01:31 /usr/bin/mysql_zap* 從安全形度考慮我們需要如下更改
chown mysql:mysql /usr/bin/mysql*
chmod 700 /usr/bin/mysql* mysql使用者是DBA專用使用者
5.2. 資料庫客戶端安全
DBA不需要通過SSH登入資料庫伺服器，然後執行mysql/sqlplus在登入資料庫
5.2.1. bind-address
如果web與database 在一臺機器上
bind-address = 127.0.0.1 5.2.2. mysql 管理
$ cat ../database/mysqltui
#!/bin/bash
TITLE="MySQL Client"
HOST=$(whiptail --title "$TITLE" --menu "MySQL Host" 22 50 8
"127.0.0.1" "localhost"
"172.16.0.1" "MySQL Master"
"172.16.0.2" "MySQL Slave 1"
"172.16.0.3" "MySQL Slave 2"
3>&1 1>&2 2>&3)
USER=$(whiptail --inputbox "MySQL User:" 8 60 --title "$TITLE" 3>&1 1>&2 2>&3)
PASSWD=$(whiptail --title "$TITLE" --passwordbox "MySQL Password:" 8 60 3>&1 1>&2 2>&3)
#DATABASE=$(mysqlshow -h$HOST -u$USER | egrep -o "|w(.*)w|" | grep -v "Databases" |awk '{print """$1"" ""$1"""}')
#DATABASE=$(mysqlshow -h$HOST -u$USER | egrep -o "|w(.*)w|" | grep -v "Databases" |awk "{print "$1" "$1"}")
#DB=$(whiptail --title "$TITLE" --menu "MySQL DATABASE" 22 50 8 $DATABASE 3>&1 1>&2 2>&3)
DATABASE=$(whiptail --inputbox "MySQL Database:" 8 60 --title "$TITLE" 3>&1 1>&2 2>&3)
echo $HOST $USER $PASSWD $DATABASE
mysql -h$HOST -u$USER -p$PASSWD $DATABASE ┌───┤ MySQL Adminstrator ├───┐
│ Menu │
│ │
│ 1 MySQL Manager │
│ 2 MySQL Backup │
│ 2 MySQL Restore │
│ │
│ │
│ <Ok> <Cancel> │
│ │
└────────────────────────────┘ ┌────────┤ MySQL Adminstrator ├────────┐
│ Database Host │
│ │
│ 127.0.0.1 localhost │
│ 172.16.0.1 mysql master │
│ 172.16.0.2 mysql slave │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘ /etc/php5/fpm/pool.d/www.conf
┌────────┤ MySQL Adminstrator ├────────┐
│ User │
│ │
│ root________________________________ │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘
┌────────┤ MySQL Adminstrator ├────────┐
│ Password │
│ │
│ ****________________________________ │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘ 進入mysql客戶端
Welcome to the MySQL monitor. Commands end with ; or g.
Your MySQL connection id is 503
Server version: 5.1.58-1ubuntu1 (Ubuntu)
Copyright (c) 2000, 2010, Oracle and/or its affiliates. All rights reserved.
This software comes with ABSOLUTELY NO WARRANTY. This is free software,
and you are welcome to modify and redistribute it under the GPL v2 license
Type 'help;' or 'h' for help. Type 'c' to clear the current input statement.
mysql> 安全提示
- 從安全形度看，你可以去掉輸入密碼的過程。在終端提示符下輸入 Enter password:
- 還可以寫入～/.my.conf檔案 這樣ssh [email protected]的時候輸入第一道密碼，然後進入mysql不需要輸入密碼
- 如果需要輸入密碼對話到建議刪除.bash_history rm -rf .bash_history ln -s /dev/null .bash_history
5.2.3. ~/.mysql_history
通過~/.mysql_history檔案記錄DBA操作記錄
插入時間點，在~/.bashrc中加入下面命令
cat >> ~/.bashrc <<EOD
echo `date` >> ~/.mysql_history
EOD $ tail ~/.bashrc
echo `date` >> ~/.mysql_history 檢視實際效果
$ tail ~/.mysql_history
EXPLAIN SELECT * FROM stuff where id=3 G
EXPLAIN SELECT * FROM stuff where id='3' G
EXPLAIN SELECT * FROM stuff where id='2' G
Mon Feb 27 09:15:18 CST 2012
EXPLAIN SELECT * FROM stuff where id='2' and created = '2012-02-01' G
EXPLAIN SELECT * FROM stuff where id='1' and created = '2012-02-01' G
EXPLAIN SELECT * FROM stuff where id='3' and created = '2012-02-01' G
EXPLAIN SELECT * FROM stuff where id='2' and created = '2012-02-01' G
EXPLAIN SELECT * FROM stuff where id='2' or created = '2012-02-01' G
EXPLAIN SELECT * FROM stuff where id='2' and created = '2012-02-01' G
Mon Feb 27 11:48:37 CST 2012 5.3. mysqldump 安全
5.3.1. 資料備份
MySQL Client
┌───┤ MySQL Adminstrator ├───┐
│ Menu │
│ │
│ 1 MySQL Manager │
│ 2 MySQL Backup │
│ 2 MySQL Restore │
│ │
│ │
│ <Ok> <Cancel> │
│ │
└────────────────────────────┘ MySQL Client
┌────────┤ MySQL Adminstrator ├────────┐
│ Database Host │
│ │
│ 127.0.0.1 localhost │
│ 172.16.0.1 mysql master │
│ 172.16.0.2 mysql slave │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘ ┌────────┤ MySQL Adminstrator ├────────┐
│ User │
│ │
│ root________________________________ │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘
┌────────┤ MySQL Adminstrator ├────────┐
│ Password │
│ │
│ ****________________________________ │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘ ┌────────┤ MySQL Adminstrator ├────────┐
│ Backup File Name │
│ │
│ 2010-12-12.01:00:00_________________ │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘ ┌────────┤ MySQL Adminstrator ├────────┐
│ │
│ Backup? │
│ │
│ │
│ <Yes> <No> │
│ │
└──────────────────────────────────────┘ 5.3.2. 資料恢復
MySQL Client
┌───┤ MySQL Adminstrator ├───┐
│ Menu │
│ │
│ 1 MySQL Manager │
│ 2 MySQL Backup │
│ 2 MySQL Restore │
│ │
│ │
│ <Ok> <Cancel> │
│ │
└────────────────────────────┘ ┌────────┤ MySQL Adminstrator ├────────┐
│ Database Host │
│ │
│ 127.0.0.1 localhost │
│ 172.16.0.1 mysql master │
│ 172.16.0.2 mysql slave │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘ ┌────────┤ MySQL Adminstrator ├────────┐
│ Backup History │
│ │
│ 1 2010-12-03 03:00:00 │
│ 2 2012-01-01 02:00:00 │
│ 3 2012-02-01 02:00:00 │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘ ┌────────┤ MySQL Adminstrator ├────────┐
│ User │
│ │
│ root________________________________ │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘
┌────────┤ MySQL Adminstrator ├────────┐
│ Password │
│ │
│ ****________________________________ │
│ │
│ <Ok> <Cancel> │
│ │
└──────────────────────────────────────┘ ┌────────┤ MySQL Adminstrator ├────────┐
│ │
│ Restore? │
│ │
│ │
│ <Yes> <No> │
│ │
└──────────────────────────────────────┘