可用的MySQL用户名/密码

Question

有时在我们的Web服务器上安装新产品时，我注意到安装管理器（通常是一个简单的HTML/PHP接口）会自动在设置数据库的表单中填写我们的MySQL详细信息。用户和密码是正确的，但我从来没有输入过它们。

如果软件能做到这一点，黑客可能不会做同样的事情吗？我是否需要采取其他预防措施？

我已经设置了权限，除了指定用户以外没有人可以执行这些脚本，但它仍然让我想知道它是否可以被利用。

Answer 1

您的环境可能会设置这些安装脚本可能正在查看的mysql.default_user和mysql.default_password。尝试运行phpinfo()以确定运行时配置，并查看是否设置了这些配置选项。

看那PHP MySql Configuration Manual

不管你认为任何有访问MySQL凭据脚本是一个风险取决于您的环境。我可能会错在没有设置这些选项的一面，而不仅仅是因为可能的安全隐患。

Answer 2

正常情况下，这些“产品”应该要求您在完成安装后立即删除数据库安装脚本，以便将来不再有其他人可以执行数据库安装脚本。

此外，你不会创建或使用任何脚本，让别人上传一个PHP或任何其他可执行文件在服务器上，然后执行它。

Answer 3

用户名和密码未加密，可读性为yes。有权访问数据库的脚本可以访问这些信息。

攻击者需要在您的网络服务器上载或执行脚本来执行此操作。我不知道任何方式来加密MySQL的用户名/密码。

因此，您应该在不再需要它们之后删除任何安装脚本。