Sicherheit des MySQL-Server gegen Fremdzugriffe

Da ich in den letzten Tagen das leider am eigenen Leib erfahren mußte, gebe ich hier mal ein paar Tipps zur Grundsicherheit. Ihr solltet aber Bedenken, das dies nur ein Baustein in einer in gänze reicht Stabilen Sicherung ist.

Als erstes solltet Ihr euch von der Bequemlichkeit eines ROOT-Users für den Tracker verabschieden. Das ist nicht nur Töricht, sondern auch äußerst sträflich.

geht in euer PHPMyAdmin als root und klickt dann auf Rechte
01.jpg
Dort solltet Ihr als erstes ALLEN Benutzern ein Passwort zuweisen.
Dann geht ihr auf neuer Benutzer und legt euch einen neuen User an
02.jpg
Dieser bekommt NUR diese 5 Rechte
03.jpg
dann abspeichern und die Daten des eben angelegten Users in eine Tracker-Config eintragen. Damit ist es AUSGESCHLOSSEN, das Irgendwer über ein Script einen neuen Account anlegt und so Zugriff auf eure Datenbank nimmt.

Ihr solltet euch immer vor Augen halten -- Bequemlichkeit ist keine Ausrede dafür, die Sicherheit außer Acht zu lassen

in diesem Sinne -- hf

Zitat von HaBe

falls mal wer sein mysql root pwd verlieren sollte, bekommt er es so wieder (root zugriff per ssh vorausgesetzt):
Recover MySQL root password

zusätzlich von den von dir vorgeschlagenen maßnahmen, gewähre ich dem db-user auch nur rechte auf der tracker datenbank...

[SP4C3]

unter debian kann man mit

dpkg-reconfigure mysql-server

das root passwort für den mysql-server neu setzen!

[NaIch]

Cerb oben du :

dann abspeichern und die Daten des eben angelegten Users in eine Tracker-Config eintragen. Damit ist es AUSGESCHLOSSEN, das Irgendwer über ein Script einen neuen Account anlegt und so Zugriff auf eure Datenbank nimmt.

[Cerberus]

aso

ja -- config.php (bei wem es die so noch gibt )

[NaIch]

ach so einfach ergänzen, alles klaro

[phenom]

ähm,wenn mich nich alles täuscht,kommt der hacker doch nur aufm sql server,wenn man den phpmyadmin im normalem ordner lässt.wenn ich aber ein ordner erstelle der meinetwegen aus 25 zahlen und buchstaben besteht,und da den phpmyadmin reinhaue,is er doch von aussen( wennn man den ordnernamen nicht kennt) schwer erreichbar,oder?

[Cerberus]

das kommt er mit ne Scanner -- das nutzt garnix ...
meist ist er einfachste Weg über Lücken in der Source -- oder unsichere Passwörter ....

die meiste Tracker nutzen den ROOT-Zugang des MySQL -- und damit kommen die Probleme

[D@rk-€vil™]

kleiner tip mal von mir, schmeisst den user root komplet im mühl und schafft euch vorher nen neuen acc zu im mysql server, dann gehts auch besser, zum thema sichheit

[Cerberus]

aber vorher nen neuen User (mit anderem Namen) mit ROOT-Rechten erstellen

[D@rk-€vil™]

jup das wollte ich damit sagen, denn sollte man eh komplet am server machen, also mysql sowie ssh alles andere auch was man so braucht.

und noch nen kleiner tip lasst am besten den ftp server weg, ist eh balasst fürn root ^^. so dies war mal ne kleine hilfe von mir am rande.

[SP4C3]

Ich schmeiß auch nochmal meinen Senf dazu.

Phpmyadmin braucht man NUR wenn man häufige Änderungen an der Datenbank macht, bzw. viele User auf dem Server hat, die mit ihren Datenbanken spielen sollen. Stichwort shared Hosting.
Also auf einem Trackerserver definitiv nicht.

Hier reicht es, den phpmyadmin zu kicken, den root user zu ersetzen, und die Source NICHT mit mysql-root Rechten laufen zu lassen.
Dann noch den mysqld nur auf lokalhost lauschen lassen, und unnützen Schwachsinn wie Plesk und Co garnicht erst installieren.