chroot MySQL on CentOS

Linux 同时被 2 个专栏收录
18 篇文章 0 订阅
5 篇文章 0 订阅

网上有各种chroot资料,但是似乎没有完整明确的chroot MySQL的介绍,结合工作,将我进行chroot MySQL的方法说明一下。

因为Linux发行版本众多,首先说明运行环境:CentOS 5.9, MySQL 5.5,所有chroot环境下的文件都从父环境拷贝过来,适用于无网络或网络受限环境下的安全加固。

chroot的作用不做过多介绍,部分内容可以参考我以前翻译的博文《Unix chroot最佳实践》

在CentOS下,MySQL服务调用关系大概是/etc/init.d/mysql==>/etc/init.d/mysql-real==>/usr/bin/mysqld_safe,当然这只是最主要的一条线。其实,如果不使用service命令或者/etc/init.d/mysql来启停服务的话, 我们运行MySQL只需要下面的命令:

/usr/bin/mysqld_safe --datadir="/var/lib/mysql" --pid-file="/var/lib/mysql/mysqld.pid" 

启动后就可以使用mysql命令来操作数据库了。

选择在哪一个点来做chroot直接决定了难易程度,理论上来说,chroot环境越小越好,也就是在调用关系的越后面越好,因为越往前,需要放到chroot监狱中的东西也就越多。但是发现这种方案直接导致工作量成倍增加,因为越往后,脚本的分支越多,需要处理的点也就越多,潜在的问题也会越多,这需在安全和成本之间做个妥协。最终,我选择直接在/etc/init.d/mysql中进行chroot。

CentOS的chroot命令很简单:chroot NEWROOT [COMMAND...],第一个参数是chroot的路径,第二个参数是要执行的命令,默认第二个参数是sh -i。

详细步骤说明如下:

1.建立chroot环境下的目录结构

选择/var/chroot/mysql作为根目录,参照父环境,将顶层目录依次建立起来,包括:/etc, /bin, /sbin, /tmp/, /dev, /lib64, /usr, /var,用到的次级目录后面会有介绍。完成后目录结构下图所示:


2.拷贝MySQL所需的系统文件

这一步可能因系统而异,下面列出的大部分都是在验证过程中通过错误信息逐步加进去的。根据chroot最佳实践,chroot监狱要越小越好,切忌将所有库文件及可执行文件一股脑全部复制过来,因为这些程序很可能被黑客所利用,降低了系统安全性。

依赖的库文件如下,库文件可以使用ldd命令查询得到:

/lib64/libtermcap.so.2 /lib64/librt.so.1 /lib64/libdl.so.2 /lib64/libssl.so.6 /lib64/libcrypto.so.6 /lib64/libpthread.so.0 /lib64/libcrypt.so.1 /lib64/libnsl.so.1 /lib64/libm.so.6 /lib64/libgcc_s.so.1 /lib64/libc.so.6 /lib64/ld-linux-x86-64.so.2 /lib64/libcom_err.so.2 /lib64/libresolv.so.2 /lib64/libkeyutils.so.1 /lib64/libselinux.so.1 /lib64/libsepol.so.1 /lib64/libnss_compat.so.2 /lib64/libnss_files.so.2 /usr/lib64/libz.so.1 /usr/lib64/libaio.so.1 /usr/lib64/libstdc++.so.6 /usr/lib64/libgssapi_krb5.so.2 /usr/lib64/libkrb5.so.3 /usr/lib64/libk5crypto.so.3 /usr/lib64/libkrb5support.so.0 /var/chroot/mysql/usr/lib64/以及/usr/lib64/mysql目录下全部文件。

可执行文件被MySQL脚本调用,包括:

/sbin/pidof /bin/sh /bin/hostname /bin/basename /bin/sleep /bin/nice /bin/sed /bin/cut /bin/touch /bin/chown /usr/bin/wc /bin/rm /bin/date /bin/grep /bin/chmod /bin/cat /usr/bin/expr /usr/bin/test /usr/bin/dirname /usr/bin/innochecksum /usr/bin/perror /usr/bin/replace /usr/bin/resolve_stack_dump /usr/bin/resolveip /usr/sbin/mysqld以及 /usr/bin/下所有已my开头的文件。

配置文件包括:/etc/hosts, /etc/my.cnf, /etc/passwd, /etc/group,这里要注意,passwd和group文件需要将除mysql用户和组以外的内容全部删除。

其实这一步完成后,就可以执行chroot命令,使用shell进入chroot环境了,当然只能使用已经复制过来的系统命令。因为没有ls,所有你就看不了目录内容,调试的时候可以多拷贝一些系统命令过来,通过命令行直接启动mysql,看错误提示,进行修改。

3. 拷贝父系统上的其他文件

因为从/etc/init.d/mysql就开始chroot,所以后面用到的脚本都要拷贝过来,如/etc/init.d/mysql-real。

还有MySQL的数据文件,在父系统的/var/lib/mysql目录中。

4.建立设备文件

到目前为止,发现只需要建立/dev/null就可以

mknod -m 666 /var/chroot/mysql/dev/null c 1 3

5.参考父系统修改文件系统权限及属主

这里可以根据安全需要进一步收紧权限。

6.修改/etc/init.d/mysql,调用chroot命令

#!/bin/bash
REALSCRIPT=/etc/init.d/mysql-real
ARGS=''

# don't double-start, as mysql kills the pid file
if [ "$1" = "start" ]; then
        /usr/sbin/chroot /var/chroot/mysql $REALSCRIPT status >/dev/null 2>/dev/null
        if [ $? -eq 0 ]; then
                /usr/sbin/chroot /var/chroot/mysql $REALSCRIPT status
                exit $?
        fi
fi

# pass additional parameter to mysql on start / restart
if [ "$1" = "start" ]\
        ||[ "$1" = "restart" ]\
        ||[ "$1" = "reload" ]\
; then
        # reverting additional argument
        ARGS="--max_allowed_packet=128M $ARGS"
        :
fi

/usr/sbin/chroot /var/chroot/mysql $REALSCRIPT $1 $ARGS

这一步完成后,如果没什么问题,我们已经可以通过"service mysql start"来启动mysql,使其运行在chroot环境下。但是你会发现当你用mysql来试图连接数据库时却返回“ERROR 2002 (HY000): Can't connect to local MySQL server through socket '/var/lib/mysql/mysql.sock' (2)”的错误。这是因为mysql客户端程序会默认读取my.cnf中的sock配置来连接数据库,而我们配的是/var/lib/mysql/mysql.sock,很明显,mysql运行在chroot环境中,在父环境的/var/lib/mysql目录中并没有sock文件,怎么办呢?建立软链接,当然你也可以指定socket参数。搞定!

在chroot环境下使用软链接时注意,只能将chroot监狱中的文件链接到外面,而不能反过来,反过来的话在chroot监狱中是无法读取的。

这种方案除了修改了/etc/init.d/mysql脚本外,其他配置文件和脚本都不需要修改,工作量应该是最小的。但是这种方案的安全性如何呢?自己不是黑客,没有尝试过,以后如果发现有漏洞的话会即使更新本文。但上次一个安全专家确实给我们演示过通过一个安全性不强的MySQL攻入系统,获得root权限,他怎么做到的呢?不好意思,都忘了。

再简单介绍一下如何判断应用程序是否被成功chroot,找一下男人(man),有这么一说:

/proc/[pid]/root
              UNIX and Linux support the idea of a per-process root of the filesystem, set by the chroot(2) system call.  This file is a symbolic link that points to the process's root directory, and behaves in the same way as exe, and fd/*.
说白了就是你先用ps找到应用程序的PID,然后查看/proc/[pid]/root这个文件,如果是"/",说明你没有chroot成功,反之,可能搞定了。我的环境下



如果有高手路过,请不吝赐教如何验证chroot环境下mysql的安全性,叩谢。


  • 0
    点赞
  • 0
    评论
  • 1
    收藏
  • 一键三连
    一键三连
  • 扫一扫,分享海报

©️2021 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值