MySQL 暴露与远程账号收敛

MySQL 监听 0.0.0.0 且存在 host 为 % 的账号时，数据库直接暴露给所有可达网段；配合弱口令或空口令会直接导致数据泄露，mysql.user 中的历史账号也常被忽略。

漏洞与攻击面速查安全更新于 2026-10-12

核查命令

ss -lntp | grep 3306
mysql -e "SELECT user, host FROM mysql.user WHERE host <> 'localhost';"
mysql -e "SELECT user, host FROM mysql.user WHERE authentication_string = '' OR authentication_string IS NULL;"
# 检查 bind-address 与匿名账号

收敛与基线

mysql_secure_installation
# 依次处理：匿名账号、远程 root、test 库、权限刷新
# my.cnf 中 bind-address = 127.0.0.1（或管理网段网卡地址）

业务确需远程访问时，用具体来源网段账号 + 防火墙白名单，比全开 % 可控得多。

易错点

防火墙封了 3306 但 bind-address 未改：内网任意主机仍可直连数据库

数据来源与参考

MySQL 文档（账号管理与 mysql_secure_installation）
MySQL 安全部署指南

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌