MySQL数据库UDF提权防御

MySQL数据库UDF提权是一种高危攻击手段，攻击者通过上传恶意的动态链接库文件，利用MySQL的自定义函数功能执行系统命令，从而将数据库权限提升至操作系统root级别。要防御这种攻击，核心在于严格控制MySQL运行账户的权限、禁用不必要的UDF功能、加强文件上传与目录访问限制，并实施主动的安全监控与审计。

理解UDF提权的基本原理与攻击路径

UDF（User Defined Function，用户自定义函数）是MySQL提供的一种扩展机制，允许用户用C/C++编写函数并编译成动态链接库（在Windows上是DLL文件，Linux上是.so文件），然后通过SQL语句加载调用。这本是为了增强数据库的灵活性，但若MySQL服务进程以高权限账户运行，且攻击者能向服务器写入文件，就可以上传恶意库文件，创建执行系统命令的函数，进而完全控制服务器。

典型的攻击路径分几步：首先，攻击者需要获得一个具备FILE权限的MySQL账户，该权限允许读写服务器文件。接着，他们查询"@@plugin_dir"确定插件目录位置，然后将恶意动态库文件写入该目录。最后，通过"CREATE FUNCTION"语句将库中的恶意函数映射为SQL可调用的UDF，之后便能像执行普通SQL函数一样执行系统命令。

关键防御策略一：最小权限原则与账户安全加固

这是最根本的防御措施。绝对不要以root或Administrator系统账户运行MySQL服务。你应该专门创建一个仅用于运行MySQL的低权限系统账户，例如"mysql"或"mysqld"。在Linux上，使用"useradd -r -s /bin/false mysql"创建无登录权限的系统账户，并在配置文件中通过"user=mysql"指定。此账户应只拥有对数据目录、日志目录等必要路径的读写权，而绝不能有对"/etc"、"/bin"等系统关键目录的写权限。

在数据库内部，严格管理用户权限。遵循最小权限原则，仅授予应用程序所需的最低权限。除非有绝对必要，否则禁止授予任何用户"FILE"、"INSERT"、"DELETE" ON *.* 等全局高危权限。使用"REVOKE FILE ON *.* FROM 'user'@'host';"命令收回不必要的FILE权限。定期审计用户权限，使用"SELECT user, host, file_priv FROM mysql.user WHERE file_priv='Y';"检查谁拥有FILE权限。

关键防御策略二：严格控制插件目录与禁用远程加载

MySQL的"@@plugin_dir"目录是加载UDF的唯一位置。你必须确保该目录的权限严格受限。将插件目录设置为仅MySQL运行账户可读写，其他账户无任何权限。例如："chown mysql:mysql /usr/lib/mysql/plugin && chmod 750 /usr/lib/mysql/plugin"。更激进的策略是，如果业务完全不需要UDF，可以在编译安装MySQL时通过"-DWITHOUT_UDF"选项禁用UDF支持，或直接移除插件目录下的所有".so"/".dll"文件。

在配置文件中，通过"--secure-file-priv"选项限制数据导入导出的目录。将其设置为一个特定的、安全的空目录，可以阻止攻击者将恶意库写入任何其他位置。例如："secure-file-priv = /var/lib/mysql-files/"。同时，确保"local_infile"参数设置为OFF，防止通过LOAD DATA LOCAL INFILE进行文件读取。

关键防御策略三：主动防御与入侵检测

防御不能只靠堵，还要能发现。部署文件完整性监控，对MySQL插件目录、数据目录等进行实时监控，一旦有异常文件创建或修改立即告警。可以使用像AIDE、Tripwire这样的工具。在数据库层面，开启MySQL的通用查询日志或审计插件，监控所有"CREATE FUNCTION"、"DROP FUNCTION"语句以及异常的"SELECT ... INTO OUTFILE"/"DUMPFILE"操作。

以下是一个简单的监控脚本思路，用于定期检查插件目录的文件变化：

#!/bin/bash
PLUGIN_DIR=$(mysql -N -s -e "select @@plugin_dir")
CURRENT_HASH=$(find $PLUGIN_DIR -type f -name "*.so" -exec md5sum {} \; | md5sum | awk '{print $1}')
KNOWN_HASH="/var/secure/plugin_dir.hash"
if [ -f $KNOWN_HASH ]; then
    if [ "$(cat $KNOWN_HASH)" != "$CURRENT_HASH" ]; then
        echo "警报：MySQL插件目录文件已被修改！" | mail -s "安全警报" admin@example.com
    fi
else
    echo $CURRENT_HASH > $KNOWN_HASH
fi

关键防御策略四：网络与配置层加固

从网络层面隔离你的MySQL数据库。禁止将其直接暴露在互联网上，应置于内网，并通过防火墙严格限制访问源IP，只允许应用服务器访问。修改默认的3306端口可以在一定程度上增加攻击者的扫描难度。在MySQL配置中，使用"bind-address = 127.0.0.1"或内网IP，限制监听范围。

及时更新和打补丁。虽然UDF提权更多是配置和权限问题，但保持MySQL版本为最新稳定版，可以避免攻击者利用其他漏洞（如SQL注入）来获取初始的FILE权限。同时，关闭不必要的服务功能，例如在"my.cnf"中设置"skip-symbolic-links"，防止通过符号链接进行攻击。

应急响应与修复流程

如果怀疑发生了UDF提权攻击，应立即启动应急响应。首先，立即断开疑似被入侵账户的网络连接，使用"KILL PROCESS_ID;"命令结束其会话。其次，检查"mysql.func"系统表，查看所有已安装的自定义函数："SELECT * FROM mysql.func;"。发现可疑函数后，立即使用"DROP FUNCTION function_name;"删除。

然后，进入服务器文件系统，检查插件目录，删除对应的恶意动态库文件。彻底审查系统日志、MySQL错误日志和查询日志，溯源攻击者的IP、时间点和操作序列。最后，修改所有数据库账户的密码，特别是高权限账户，并重新审查和加固权限配置与系统配置。事后必须进行根本原因分析，查明攻击者是如何获得初始权限的，是SQL注入、密码泄露还是其他漏洞，并对症下药进行修补。

总结：构建纵深防御体系

防御MySQL UDF提权没有“银弹”，必须构建一个从账户权限、文件系统、网络配置到主动监控的纵深防御体系。核心思想是：让MySQL在最低权限下运行，将攻击者可写入和执行的文件路径缩到最小甚至为零，并严密监视所有异常行为。将数据库安全视为系统安全的一部分，定期进行安全审计和渗透测试，才能有效抵御此类及更多未知的高级威胁。

服务指南

帮助中心