Я только что просматривал разрешения пользователей MySQL во время аудита безопасности и заметил, что около 20 пользователей MySQL были созданы со случайными именами, такими как «bug115166_10073». У них вообще нет разрешений, и я единственный, кто модерирует базу данных.
Кто-нибудь может подумать, что это могут быть и откуда они взялись? Поскольку этим пользователям не назначено никаких разрешений, я предполагаю, что их можно безопасно удалить?
Пожалуйста, немедленно удалите их !!!
Вот почему: анонимные пользователи имеют доступ к любой базе данных, первые 4 буквы которой test. В тестовой базе данных можно выполнять множество задач с интенсивным использованием CRUD. Вы также можете переименовать тестовые базы данных во что-то совершенно другое. Прочтите эти ссылки, потому что я уже обращался к этой проблеме раньше в DBA StackExchange.
Чтобы подтвердить необходимость этого, обратите внимание на то, что В руководстве по сертификации MySQL 5.0 говорится на стр. 498, параграф 6. в его пунктах:
В Unix MySQL поставляется со сценарием mysql_secure_installation, который может выполнять несколько полезных операций, связанных с безопасностью, в вашей установке. Скрипт имеет следующие возможности:
- Установите пароль для учетных записей root
- Удалите все удаленно доступные корневые учетные записи.
- Удалите анонимные учетные записи пользователей. Это повышает безопасность, поскольку предотвращает возможность подключения к серверу MySQL с удаленного хоста как root. В результате любой, кто хочет подключиться как root, должен сначала иметь возможность войти в систему на хосте сервера, что обеспечивает дополнительный барьер против атаки.
- Удалите тестовую базу данных (если вы удалите анонимные учетные записи, вы также можете удалить тестовую базу данных, к которой у них есть доступ).
Продолжая риторический вопрос @Pekka в комментариях, проверьте свои существующие действительный права пользователей. Вероятно, у вас есть учетная запись приложения с CREATE USER привилегия, но не GRANT. Чтобы этого не произошло в будущем, отмените CREATE USER со всех, кроме ваших административных учетных записей.