mysql与redis安全问题

作为网络服务的中心，网络服务器，经常会受到来自外部的攻击，今天简单概括一下，作为服务端重要组成部分--数据库服务，存在哪些不安全的地方，以及如何去防范；

常见服务的安全问题：

1、redis服务；

2、mysql服务；

redis服务所存在的潜在安全问题：

redis crackit 漏洞利用实例；

由于很多reids服务都是免密码登录的，

连接无密码认证的reids服务；

测试是否支持config命令，并查看当前db文件位置；

修改db文件路径到crontab文件（覆盖/var/spool/cron/crontabs/下的文件）

修改db文件路径到ssh登陆秘钥文件（覆盖~/.ssh/authorized_keys文件）

这样，基本就可以通过攻击机器，ssh到redis所属机器上了。并且拿到启动redis的用户权限；

redis服务需要注意的安全常识：

redis服务安全配置（/etc/redis.conf）

只监听localhost或对访问源进行限制；

使用低权限的独立服务账号（redis）

增加密码认证

禁用config、flushdb、flushall、keys等特殊指令；

mysql服务安全配置：

只监听localhost或对访问源进行限制；

使用低特权的独立服务账号（由于mysql内置了一套较为高级的账号管理系统，不同的账号不仅对不同的数据库、表有不同的管理权限，而且不同的账号对其他的账号具有一定的权限管理，相当的高级）

合理划分mysql账号权限

为所有sql账号设置复杂密码，禁用特权账号远程登陆

合理设置linux文件系统权限

禁止mysql账号对非数据库文件的写入