普通用户有MySQL鉴权表的访问权限带来的风险。

作者：余振兴，爱可生 DBA 团队成员，热衷技术分享、编写技术文档。

爱可生开源社区出品，原创内容未经授权不得随意使用，转载请联系小编并注明来源。

本文共 1100 字，预计阅读需要 3 分钟。

基础背景

我们在做权限授权时需要给到应用用户增删改查权限，比如下面的授权语句。这样的好处是当实例创建多个业务库时，无需再次给新的业务库授权，该权限默认对所有库有增删改查权限，主打一个方便，但实际这种授权方式会带来较大的权限风险，甚至导致数据库被攻击破坏。

create user 'app'@'%' identified by 'app';
grant select,update,delete,insert on *.* to 'app'@'%';

演示验证

我们基于以上的授权来做一个业务用户 提权（自己给自己增加额外的权限）操作，下面是操作的时序表格（建议 PC 端查看）。

场景1

管理用户触发 flush privileges 刷新内存授权表触发提权。

场景2

重启数据库重新加载授权表到内存触发提权。

场景总结

• 给普通用户授予 MySQL 鉴权相关表的权限均会带来风险
  • 备注：鉴权表除了 user 表，还包括 db、columns_priv、tables_priv、procs_priv、proxies_priv 表。
• 即使只对鉴权表授予只读权限，如 user 表，也会被获取到 authentication_string 字段的密文串，通过其他方式做密码库匹配破解。
  • 曾经遇到过一个场景，普通用户仅有 user 的查询权限，其通过查询该表信息发现 root@localhost 用户密码为空，于是直接用 root 用户访问数据库，类似于进行了提权操作。

规避方式

• 不要对非管理员用户授予任何鉴权表的访问权限，即使是只读权限。
• 授权遵循最小权限原则。
• MySQL 8.0 增加了回收部分权限的参数 partial_revokes，可单独将 mysql 库的权限回收。示例如下：

-- 创建app用户并授予所有数据库增删改查权限
create user 'app'@'%' identified by 'app';
grant select,update,delete,insert on *.* to 'app'@'%';

-- 开启部分权限回收的参数
set global partial_revokes=on;

-- 单独回收app用户对mysql库的权限
revoke select,update,delete,insert on mysql.* from 'app'@'%';

-- 查看当前app用户的授权信息
-- 这里的权限是以交集的形式存在，必须两者都满足
show grants for app;
+-------------------------------------------------------------------+
| Grants for app@%                                                  |
+-------------------------------------------------------------------+
| GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO `app`@`%`          |
| REVOKE SELECT, INSERT, UPDATE, DELETE ON `mysql`.* FROM `app`@`%` |
+-------------------------------------------------------------------+

-- 以app用户登录数据库访问mysql.user表，报错无权限
mysql> select user,host from mysql.user;
ERROR 1142 (42000): SELECT command denied to user 'app'@'127.0.0.1' for table 'user'