创建了奇怪的MySQL用户(例如。( bug115166_10073)而不是我

Question

刚刚在安全审核期间查看了我的MySQL用户权限，并注意到大约有20个MySQL用户被创建为随机名称，如'bug115166_10073‘。他们根本没有启用任何权限，我是唯一一个管理数据库的人。

有人能想到这些可能是什么吗?他们从哪里来的？考虑到分配给这些用户的权限为零，我认为它们是安全的吗？

Answer 1

请马上把它们移走！

原因如下:匿名用户可以访问前4个字母为test的数据库。您可以在测试数据库中执行大量CRUD密集型操作。您还可能希望将测试数据库重命名为完全不同的内容。请阅读这些链接，因为我曾经在DBA StackExchange中讨论过这个问题。

• 无法从mysql.user删除匿名用户
• 这是一组正常的MySQL特权吗？

为了确认需要这样做，请在其公报中注意到MySQL 5.0认证研究指南第498页第6段：

在Unix上，MySQL附带了一个mysql_secure_installation脚本，可以在安装过程中执行几个有用的与安全相关的操作。该脚本具有以下功能：

• 为根帐户设置密码。
• 删除任何可远程访问的根帐户。
• 删除匿名用户帐户。这提高了安全性，因为它防止任何人以根用户身份从远程主机连接到MySQL服务器。结果是，任何想要以root用户身份连接的人都必须首先能够登录服务器主机，这提供了抵御攻击的额外屏障。
• 删除测试数据库(如果删除匿名帐户，也可能希望删除它们访问的测试数据库)。

Answer 2

从评论中@Pekka的反问句开始，检查您现有的有效用户的权限。您可能有一个具有CREATE USER特权但不具有GRANT权限的应用程序帐户。若要防止将来发生这种情况，请从除您的管理帐户之外的所有帐户中撤消CREATE USER。