Mysql被黑客入侵后的安全应对措施总结

情况概述

今天登陆在腾讯云服务器上搭建的Mysql数据库，发现数据库被黑了，黑客提示十分明显。

Mysql中只剩下两个数据库，一个是information_schema，另一个是黑客创建的PLEASE_READ，其中有一张info表，内容如下：

Info: Your DB is Backed up at our servers, to restore send 0.2 BTC to the Bitcoin Address then send an email with your server ip

Bitcoin_Address: 1F33LEJjdphD6YpaonNCHejwLcgkgDGQW9

Email: [e-mail]

显然，我这是遇到比特币敲诈了。我的数据在别人的服务器里安然的躺着，需要向黑客支付0.2比特币才有可能恢复。按照当前的汇率，0.2比特币大约为1400人民币，这是我第一次遇到网络敲诈，金额还不小。

所幸数据库里并没有值钱的数据，就当是送给黑客了，不过数据库安全问题引起了我的注意。

---

安全措施

由于缺乏必要的安全措施和备份机制，数据库中原有的数据均已丢失。为了恢复到Mysql初始的状态，重新安装了Mysql数据库，并且重新创建原先存在的数据库，同时，为了防止再次被黑客入侵，对Mysql进行了一些安全配置。

禁用或限制远程访问。若允许远程访问，需要确保特定主机才拥有访问权。

对用户进行合理授权，应用程序中最好不要直接使用root用户。

限制打开网络socket，此时仍可以建立与Mysql服务器的本地连接。

[mysqld]
skip-networking

强迫Mysql仅监听本机。

[mysqld]
bind-address=127.0.0.1

更改root用户的登录名称和密码。

移除测试数据库和匿名账户及废弃的账户。

禁用LOCAL INFILE。

[mysqld]
set-variable=local-infile=0

删除历史命令记录。

cat /dev/null > ~/.bash_history
cat /dev/null > ~/.mysql_history

及时安装Mysql安全补丁。

使用chroot限制Mysql运行环境。

自动定期备份数据库。

用防火墙实现mysql绑定多个ip

my.cnf中有选项bind-address=127.0.0.1，是说mysql server监听的是本地发来的请求，如果是任意主机都可以请求，则写为0.0.0.0，但是这样又不太安全。监听某ip，指定此ip地址即可，但是要保证mysql的user中有允许此ip访问，否则不能对数据库操作。那么是否可以在配置里只规定几个ip呢？

简单直接回答：不可能

请参考：https://dev.mysql.com/doc/refman/5.1/en/server-options.html#option_mysqld_bind-address

The MySQL server listens on a single network socket for TCP/IP connections. This socket is bound to a single address, but it is possible for an address to map onto multiple network interfaces. The default address is 0.0.0.0. To specify an address explicitly, use the –bind-address=addr option at server startup, where addr is an IPv4 address or a host name. If addr is a host name, the server resolves the name to an IPv4 address and binds to that address. The server treats different types of addresses as follows:

If the address is 0.0.0.0, the server accepts TCP/IP connections on all server host IPv4 interfaces.

If the address is a “regular” IPv4 address (such as 127.0.0.1), the server accepts TCP/IP connections only for that particular IPv4 address.

但是有此需求，就会到访问控制，那么使用防火墙iptables可实现此效果

mysql-server为192.168.1.3，只允许192.168.1.4, 192.168.1.5, 192.168.1.6来访问3306端口

在my.cnf中

bind-address = 0.0.0.0

在访问3306端口的主机中，只允许192.168.1.4-6，其他ip一律DROP掉

/sbin/iptables -A INPUT -p tcp -s 192.168.1.4 --dport 3306 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -s 192.168.1.5 --dport 3306 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -s 192.168.1.6 --dport 3306 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 3306 -j DROP

或

/sbin/iptables -A INPUT -p tcp --dport 3306 ! -s 192.168.1.4 -j DROP
/sbin/iptables -A INPUT -p tcp --dport 3306 ! -s 192.168.1.5 -j DROP
/sbin/iptables -A INPUT -p tcp --dport 3306 ! -s 192.168.1.6 -j DROP

保存防火墙规则

service iptables save

查看INPUT链包含3306的规则

echo -e "target prot opt source destination\n$(iptables -L INPUT -n | grep 3306)"

这样就实现了mysql只允许指定ip访问。

yum 和 rpm安装mysql彻底删除

1、yum方式安装的MySQL

$yum remove mysql mysql-server mysql-libs compat-mysql51

$rm -rf /var/lib/mysq

$rm /etc/my.cnf

查看是否还有mysql软件：

$rpm -qa|grep mysql

如果存在的话，继续删除即可，删除方式：yum remove + 【名字】。

2、rpm方式安装的mysql

a）查看系统中是否以rpm包安装的mysql：

[root@localhost opt]# rpm -qa | grep -i mysql

MySQL-server-5.6.17-1.el6.i686

MySQL-client-5.6.17-1.el6.i686

b)卸载mysql

[root@localhost local]# rpm -e MySQL-server-5.6.17-1.el6.i686

[root@localhost local]# rpm -e MySQL-client-5.6.17-1.el6.i686

c)删除mysql服务

[root@localhost local]# chkconfig --list | grep -i mysql

[root@localhost local]# chkconfig --del mysql

d)删除分散mysql文件夹

[root@localhost local]# whereis mysql 或者find / -name mysql

mysql: /usr/lib/mysql /usr/share/mysql

清空相关mysql的所有目录以及文件

rm -rf /usr/lib/mysql

rm -rf /usr/share/mysql

rm -rf /usr/my.cnf

通过以上几步，mysql应该已经完全卸载干净了。