php mysql_connect安全性

Question

如果Web服務器和數據庫服務器位於不同的主機上，那么當您在PHP代碼中使用mysql_connect時，黑客是否可以進行數據包嗅探或使用其他方法獲取數據庫用戶名/密碼？

Answer 1

是的mysql_connect（）可以被嗅探。 密碼是“亂碼” ，但這不會阻止攻擊者。 所有quires都以純文本形式拋出，如果您正在嗅探TCP序列ID，則可以劫持經過身份驗證的會話。

如果您擔心此攻擊，則必須使用MYSQL_CLIENT_SSL標志進行完全傳輸層加密。 如果您通過互聯網或其他不受信任的網絡建立mysql連接，那么這是必要的。 如果您通過localhost連接，則不需要這樣做。

Answer 2

我認為，如果黑客能夠訪問Web服務器或數據庫服務器，或者至少訪問其中一個服務器的局域網，那么黑客可以嗅探數據包，在這種情況下，您會遇到更大的問題。 但是如果Web服務器在webhost.com上，那么db就在dbhost.com上，黑客試圖從外面嗅探，然后他就做不了多少。