¿La información de inicio de sesión en una base de datos mysql de solo lectura es una amenaza para la seguridad?

Question

¿La información de inicio de sesión en una base de datos mysql de solo lectura es una amenaza para la seguridad?

#1 de Anti-weakpasswords (7 votos)
#2 de pacifist (3 votos)

2

Estaba buscando dar información de inicio de sesión a una base de datos mysql de solo lectura (a través de phpmyadmin) al público (los usuarios de mi programa) para usar con fines de referencia en un entorno de producción. ¿Estaría arriesgando algo de mi lado al hacerlo (suponiendo que todos los privilegios estuvieran bloqueados y los usuarios literalmente solo pudieran leer la base de datos)?

Datos como: Validación de la licencia (que verifica si un usuario compró una clave de licencia y si eliminan el Pie de página de Copyright) y Datos como: Reintegros o mensajes de correo electrónico fradulentos de usuarios de PayPal

Mi única preocupación principal es tener todo el servidor comprometido solo porque alguien conozca un nombre de usuario o contraseña para la base de datos de solo lectura.

mysql

pregunta aman207 02.04.2014 - 06:58

fuente

2 respuestas

3

¿Estaría arriesgando algo de mi lado al hacerlo?

sí.

... Incluso si el sistema es 'seguro' (es decir, no hay vulnerabilidades priv esc como mencionó correctamente el otro tipo; está facilitando el acceso para ese tipo de cosas) que pueden hacer su sistema con consultas costosas .

También me aseguraría de que definitivamente bloquee todos los privilegios para arruinar la diversión como

…’ UNION ALL SELECT LOAD_FILE(‘/etc/passwd’) -— priv, can only read world-readable files.

respondido por el pacifist 02.04.2014 - 07:55

fuente

Lea otras preguntas en las etiquetas mysql

¿El enlace para restablecer el correo electrónico de la contraseña de Microsoft lleva a una URL diferente? ¿Estrategia para actualizar las contraseñas almacenadas a un hash más seguro? [duplicar]

score 7 · Accepted Answer

Sí, por supuesto es una amenaza de seguridad potencial. MySQL siempre puede tener una vulnerabilidad, quizás algo como CVE-2003-0150 MySQL Root Privilege Escalation Vulnerability desde hace muchos años.

Se pueden introducir nuevas fallas con cualquier actualización, y se pueden descubrir fallas antiguas en cualquier momento.

El hecho de que le pida a MySQL que no permita que el usuario ejecute o cree nada no significa que MySQL sea perfectamente efectivo para hacerlo en todo momento y después de cada actualización.

Y, naturalmente, si luego pueden ejecutar SELECT, pueden ejecutar SELECT con un producto cartesiano lo suficientemente grande como para estrangular a su servidor completamente a través de IO y / o la carga de la CPU, o usar todo el ancho de banda de la red que puedan obtener.

Esto no es ni siquiera contar la diversión posible con el nivel de aislamiento de la transacción para intentar causar bloqueos y puntos muertos. Cuidado con las mesas temporales también, por supuesto.