当连接数据库失败次数过多时,聊聊L连MySQL 是接控件否会限制登录呢?数据库服务端应该怎么应对暴力破解呢?本篇文章介绍下 MySQL 中的连接控制插件,一起来学习下此插件的制插作用。
1.连接控制(connection_control)插件介绍
MySQL 服务端包含一个插件库,聊聊L连可以自定义安装各类插件。接控件connection_control 插件也是制插其中一种,主要用来控制客户端在登录操作连续失败一定次数后的聊聊L连响应的延迟。该插件可有效的接控件防止客户端暴力登录的风险。该插件包含以下两个组件:
连接控制插件文件的接控件基本名称为 connection_control 。每个平台的制插文件名后缀有所不同(对于 Unix 和类 Unix 系统为 .so ,对于 Windows 为 .dll )。下面以 Linux 系统为例来安装下 connection_control 插件,Windows 系统只需要将 .so 改成 .dll 即可。
- # 动态安装 connection_control 插件
- mysql> INSTALL PLUGIN CONNECTION_CONTROL SONAME 'connection_control.so';
- Query OK, 0 rows affected (0.04 sec)
- mysql> INSTALL PLUGIN CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS SONAME 'connection_control.so';
- Query OK, 0 rows affected (0.01 sec)
- # 验证插件状态
- mysql> SELECT
- -> PLUGIN_NAME,PLUGIN_STATUS
- -> FROM
- -> INFORMATION_SCHEMA.PLUGINS
- -> WHERE
- -> PLUGIN_NAME LIKE 'connection%';
- +------------------------------------------+---------------+
- | PLUGIN_NAME | PLUGIN_STATUS |
- +------------------------------------------+---------------+
- | CONNECTION_CONTROL | ACTIVE |
- | CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS | ACTIVE |
- +------------------------------------------+---------------+
- # 安装完成后 可以看到相关系统变量
- mysql> show variables like 'connection_control%';
- +-------------------------------------------------+------------+
- | Variable_name | Value |
- +-------------------------------------------------+------------+
- | connection_control_failed_connections_threshold | 3 |
- | connection_control_max_connection_delay | 2147483647 |
- | connection_control_min_connection_delay | 1000 |
- +-------------------------------------------------+------------+
可以看出,插件安装还是很简单的,不过这个插件具体有什么作用呢?我们先来解释下相关系统变量:
至此,你可能明白了 connection_control 插件的作用,那就是当客户端连接数据库连续失败到达一定次数后,服务端会进行一段时间的响应延迟,连续失败尝试的次数越多,响应延迟时间越长。
2.连接控制实验
我们来具体做下实验,为了实验效果,这里将失败次数阈值设为 10 ,延迟最小时间设为 1 分钟,即当连续连接失败十次后,延迟响应时间最低为 1 分钟,下面我们故意输错密码来试试看:
- # 初始状态
- mysql> show variables like 'connection_control%';
- +-------------------------------------------------+------------+
- | Variable_name | Value |
- +-------------------------------------------------+------------+
- | connection_control_failed_connections_threshold | 10 |
- | connection_control_max_connection_delay | 2147483647 |
- | connection_control_min_connection_delay | 60000 |
- +-------------------------------------------------+------------+
- 3 rows in set (0.01 sec)
- mysql> SELECT * FROM information_schema.CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS;
- Empty set (0.00 sec)
- # 故意输错密码
- [root@localhost ~]# mysql -utestuser -p123
- mysql: [Warning] Using a password on the command line interface can be insecure.
- ERROR 1045 (28000): Access denied for user 'testuser'@'localhost' (using password: YES)
- # 查看失败记录
- mysql> SELECT * FROM information_schema.CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS;
- +----------------+-----------------+
- | USERHOST | FAILED_ATTEMPTS |
- +----------------+-----------------+
- | 'testuser'@'%' | 1 |
- +----------------+-----------------+
- 1 row in set (0.00 sec)
- # 当连续失败次数超过阈值后 再次进行连接会产生延迟 即延迟一定时间后才会返回密码是否正确
- mysql> SELECT * FROM information_schema.CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS;
- +----------------+-----------------+
- | USERHOST | FAILED_ATTEMPTS |
- +----------------+-----------------+
- | 'testuser'@'%' | 10 |
- +----------------+-----------------+
- mysql> show processlist;
- +---------+----------+--------------------+--------------------+---------+-------+--------------------------------------+------------------+
- | Id | User | Host | db | Command | Time | State | Info |
- +---------+----------+--------------------+--------------------+---------+-------+--------------------------------------+------------------+
- | 1817003 | root | localhost | NULL | Query | 0 | starting | show processlist |
- | 1817091 | testuser | localhost | NULL | Connect | 16 | Waiting in connection_control plugin | NULL |
- +---------+----------+--------------------+--------------------+---------+-------+--------------------------------------+------------------+
正常情况下,输错密码是即刻返回错误的,当连续失败次数达到阈值后,再次进行连接尝试,则会延迟响应,具体表现就是一直卡着,到延迟结束后才返回错误。information_schema 系统库中的表会记录登录失败的用户名及失败次数,当延迟发生时,从 processlist 中也可以查到正在延迟的连接。若输入密码正确,则会取消延迟、重新计数。
于是乎,你应该理解了为什么此插件能防止客户端暴力破解,假设暴力破解每分钟尝试 120 次,现在启用该插件后,连续失败一定次数后就会响应延迟,并且随着失败次数的增加延迟时间也会增加,原来能立即开始下次破解,现在只能到延迟时间后才能发起下次尝试,所以能极大降低被暴力破解的风险。
不过启用连接控制插件后要注意是否存在延迟的连接,因为正在延迟的连接也是占用连接数的,可能会引起连接积压导致连接数不够用。所以当出现延迟的连接时,应尽快排查到底是那里在连接,确保密码输入正确。
若要启用此插件,注意要配置合适的阈值及延迟时间,并记得将这些参数写入配置文件。一般等保评测可能会有这项要求,这个时候连接控制插件会用得上。
责任编辑:武晓燕 来源: MySQL技术 MySQL连接控制
(责任编辑:探索)
爱司凯(300521.SZ)2020年度净亏损1214.64万元 不以公积金转增股本
冀东装备(000856.SZ)公布消息:拟向冀东集团申请总额不超4亿元借款
iPhone 15全系国行售价曝光:Pro或涨价千元 你会买吗?