セキュリティで保護されていないMySQL 'root' @ 'localhost'アカウントにリモートアクセスしますか？

少し背景：PBXシステムがハッキングされたところです。サーバー自体は安全なようです（ログに記録された無許可のコンソールアクセス-SSHなど）。しかし、どういうわけかハッカーは新しい管理ユーザーをPBXソフトウェア（FreePBX、MySQLに支えられている）に挿入できました。Apacheログは、ハッカーがWebインターフェース（またはWebインターフェースのエクスプロイト）を使用せずにユーザーを追加したことを示しています。

その後、MySQLがrootパスワードなしで実行されており（!!）、外部IPアドレスに公然とバインドされていることを発見しました（明らかに、これをロックしました）。ただし、MySQLで唯一のルートレベルのユーザーは'root'@'localhost'およびであり'root'@'127.0.0.1'、どちらもローカルでのみアクセス可能である必要があります。

だから、私の質問はこれです：

MySQLへの接続をスプーフィングして、リモートIPアドレスから 'root' @ 'localhost'ユーザーへの接続を許可し、ローカルで他のエクスプロイトを実行する方法はありますか？

参考までに、ボックスはMysql 5.0.95を実行するCentos 5（Linux 2.6.10）です。

番号。

MySQLは、ローカルシステムからアクセスしていない場合、localhostまたは127.0.0.1host仕様でユーザーにログインすることはありません。これは認証バイパスの脆弱性、CVE 2012-2122もカバーすることに注意してください。パスワードの比較はだまされるかもしれませんが、ホストの比較はそうではありません。

送信元ホストのチェックを「だます」ために、システム上でプロキシする必要があります。phpmyadminのようなもの、またはMySQL TCPポートの前で実行されているHAProxyのようなロードバランサーが思い浮かびます。

名前rootはデフォルトで作成され、非常によく知られています。リテラル値rootは、MySQL特権システムでは重要ではありません。したがって、ユーザー名を続ける必要はありませんroot。

rootユーザー名を別の名前に変更して、外部の世界が簡単に識別（推測）できないようにする必要があります。これにより、ハッキングの試行が減少します。

たとえば、root@ としてlocalhost知られているユーザーがいて、ハッカーが接続しようとする場合は、セキュリティを高めるためにadmin_db_name@のような特定のユーザーに変更する必要がありますlocalhost。

Aborted_connects定期的に呼び出されるステータス変数を監視しRefusedて、MySQLサーバーへの接続を確認しますFlush status;。コマンドの後は0になり、それ以上増加しないでください。

「Aborted_connects」のようなステータスを表示します。

「何が不正アクセスをログに記録しない」ログインattempsに失敗含めますか？そうでない場合は、CVE 2012-2122である可能性があります。

[...] memcmp関数の特定の実装を備えた特定の環境で実行する場合、（MySQL）はリモートの攻撃者が同じ不正なパスワードで繰り返し認証することで認証をバイパスし、不適切なチェックによりトークンの比較が成功する原因となります戻り値。