MySQL 5.7 存储过程

Question

我想知道是否有人知道我的 MySQL 5.7 root 密码可以执行存储过程、访问文件系统并远程破坏系统。

Answer 1

Root，或者更准确地说是 SUPER 授予的用户，可以执行任何程序。

对文件系统的访问受到以下限制：

• https://dev.mysql.com/doc/refman/8.0/en/server-system-variables.html#sysvar_secure_file_priv（Dynamic NO 意味着它在运行时无法更改，SUPER 包括在内）。

假设 mysql 中存在一个代码执行错误，他们可以利用，总体而言 mysqld 服务器进程以 mysql 用户身份运行，并且将受到该特权以及 Fedora 应用的 selinux 规则的限制。

SUPER 将能够填充文件系统（就像任何具有 INSERT 访问权限的用户一样），创建混乱的数据库文件，但除此之外，任何一般的文件系统都非常有限。

这一切都适用于本地或远程。 请记住， root@localhost只能在本地访问。 root@%是一个不同的远程用户。