排查MySQL安全需从用户权限、配置、网络、日志、更新和加固入手：1. 检查并最小化用户权限，删除无用账户，禁用远程root登录；2. 审查配置文件，关闭危险功能，限制绑定地址，禁用local-infile；3. 通过防火墙限制3306端口访问，避免公网暴露；4. 启用通用日志、慢查询日志和错误日志以审计异常行为；5. 及时更新MySQL版本，修复已知漏洞；6. 使用低权限系统账户运行服务，定期备份数据，实施强密码策略和预处理语句防注入。安全需持续维护，定期检查可有效降低风险。
排查MySQL的安全问题需要从多个层面入手，包括用户权限、配置安全、网络暴露、日志审计等。以下是关键排查步骤和建议：
1. 检查用户权限与账户安全
确保只有必要的用户账户存在，并且权限最小化。
- 查看所有用户：执行
SELECT User, Host FROM mysql.user;，检查是否有未知或默认账户（如 'root'@'%' 或匿名用户）。 - 删除无用账户：
DROP USER 'username'@'host'; - 限制权限：使用
SHOW GRANTS FOR 'user'@'host';查看权限，避免授予FILE、SUPER、PROCESS等高危权限。 - 禁止远程root登录：确保
'root'@'%'不存在，只允许本地访问或特定IP。
2. 审查MySQL配置文件
检查 my.cnf 或 my.ini 配置是否符合安全规范。
- 关闭不必要的功能：如
skip-symbolic-links应启用，防止符号链接攻击。 - 绑定地址限制：设置
bind-address = 127.0.0.1，避免监听公网IP，除非必要。 - 禁用LOAD DATA LOCAL：在配置中添加
local-infile = 0，防止恶意文件读取。 - 开启SSL（可选）：配置
ssl-ca、ssl-cert、ssl-key实现加密连接。
3. 检查网络暴露与端口访问
确保MySQL不被外部随意访问。
- 使用
netstat -tulnp | grep :3306查看监听状态，确认是否仅绑定内网或本地。 - 配合防火墙限制访问：例如用 iptables 或云安全组，只允许可信IP连接3306端口。
- 更改默认端口（非必需）：可降低自动化扫描攻击风险，但不能替代权限控制。
4. 启用并分析日志
通过日志发现异常行为。
- 开启通用日志（general_log）：临时记录所有查询，用于审计可疑操作（注意性能影响）。
- 启用慢查询日志：有助于发现潜在的暴力破解或资源耗尽攻击。
- 查看错误日志：检查是否有频繁的登录失败记录，可能表示密码爆破。
- 定期审查日志文件路径，确保未被篡改或删除。
5. 更新与补丁管理
保持MySQL版本更新，避免已知漏洞被利用。
- 查看当前版本：
SELECT VERSION(); - 对比官方发布的安全公告，及时升级到稳定且修复漏洞的版本。
- 避免使用已停止支持的旧版本（如 MySQL 5.5 及更早）。
6. 数据库加固建议
实施基础安全措施提升整体防护能力。
- 运行MySQL服务时不使用root系统账户，建议创建专用低权限系统用户。
- 定期备份数据，并测试恢复流程，防范勒索或误删。
- 使用强密码策略，避免简单密码或空密码。
- 应用层面避免拼接SQL，防止注入；使用预处理语句。
