可用的MySQL用戶名/密碼

Question

有時在我們的Web服務器上安裝新產品時，我注意到安裝管理器（通常是一個簡單的HTML/PHP接口）會自動在設置數據庫的表單中填寫我們的MySQL詳細信息。用戶和密碼是正確的，但我從來沒有輸入過它們。

如果軟件能做到這一點，黑客可能不會做同樣的事情嗎？我是否需要採取其他預防措施？

我已經設置了權限，除了指定用戶以外沒有人可以執行這些腳本，但它仍然讓我想知道它是否可以被利用。

Answer 1

您的環境可能會設置這些安裝腳本可能正在查看的mysql.default_user和mysql.default_password。嘗試運行phpinfo()以確定運行時配置，並查看是否設置了這些配置選項。

看那PHP MySql Configuration Manual

不管你認爲任何有訪問MySQL憑據腳本是一個風險取決於您的環境。我可能會錯在沒有設置這些選項的一面，而不僅僅是因爲可能的安全隱患。

Answer 2

正常情況下，這些「產品」應該要求您在完成安裝後立即刪除數據庫安裝腳本，以便將來不再有其他人可以執行數據庫安裝腳本。

此外，你不會創建或使用任何腳本，讓別人上傳一個PHP或任何其他可執行文件在服務器上，然後執行它。

Answer 3

用戶名和密碼未加密，可讀性爲yes。有權訪問數據庫的腳本可以訪問這些信息。

攻擊者需要在您的網絡服務器上載或執行腳本來執行此操作。我不知道任何方式來加密MySQL的用戶名/密碼。

因此，您應該在不再需要它們之後刪除任何安裝腳本。