¿Las contraseñas de db son inútiles para la autenticación local en aplicaciones (web)?

Question

¿Las contraseñas de db son inútiles para la autenticación local en aplicaciones (web)?

#1 de AJ Henderson (2 votos)

0

Soy un desarrollador web / administrador de sistemas y estoy leyendo sobre la seguridad de (por ejemplo) la autenticación de usuarios de MySQL para las aplicaciones web y cualquier otro caso de uso que implique autenticación local en este contexto, como un marco para un juego en línea.

Me he encontrado con algunas preguntas y parece que todos están de acuerdo en usar contraseñas seguras para los usuarios locales de MySQL. Estoy usando lo mismo para usuario / nombrebd / contraseña (edición: ¡solo para desarrollo!).

Mi pregunta es si el usuario solo puede usarse en localhost / 127.0.0.1 , entonces, ¿cuál es el propósito de la contraseña? Si alguien obtiene acceso al sistema, puede acceder a los archivos de la base de datos y obtener las contraseñas de los archivos .php . Además, si un virus ha infectado el sistema, no importa lo segura que sea la contraseña, de nuevo, puede acceder a los archivos.

¿En qué escenario una contraseña de usuario local (fuerte) realmente protege las bases de datos?

¿Alguien sería tan amable de explicar esto en detalle? Te lo agradecería.

passwords databases mysql

pregunta Chazy Chaz 25.07.2017 - 21:28

fuente

1 respuesta

Lea otras preguntas en las etiquetas passwords databases mysql

¿TP-LINK TD-W8151N es vulnerable a KRACK? Linux Script SUID Wrapper

score 2 · Accepted Answer

Digamos, por ejemplo, que tenía una página de carga que accidentalmente permitía la carga de archivos php a un directorio ejecutable o tenía un EXP php accidental ejecutándose en una cadena en la que un usuario podría obtener un valor.

En estos casos (y muchos otros), un atacante no necesariamente tiene acceso a los archivos en su servidor, pero aún podría ejecutar un código arbitrario que pueden cargar. Las contraseñas inseguras para el usuario local de MySQL facilitan el compromiso con dicho código.

Una buena segmentación de los permisos de acceso a los archivos también puede ayudar a separar múltiples sitios o servicios que se ejecutan en la misma máquina, sin embargo, es posible que un ataque contra la instancia de MySQL (si solo se comprueba el host local) se vea comprometido entre sitios y servicios ya que no tiene conocimiento del usuario que ejecuta, solo la dirección IP del cliente.