在昨天(2021年4月11号),云舒大佬发了一个微博,疑似有人在在Freebuf上发了一篇带有蜜罐的文章,代码里面有MySQL帐号和密码。经云舒大佬连接测试后,发现这个MySQL服务器会读取连接它的客户端上的文件。
文章首发于FreeBuf社区https://www.freebuf.com/articles/web/348248.html
为了和前一篇文章介绍的场景区分开,我们用两个虚构小故事把两种场景放在一起作个对比。
分析实验场景上存在的安全隐患,为其增加安全策略,提高服务器的安全性。根据实验步骤完成实验。
最近打了 DDCTF和 国赛,发现都考了一个知识点,也就是 MysqlLocalInfile客户端文件读取这个漏洞,下面来详细的学习一个这个漏洞。
内容为慕课网的《高并发 高性能 高可用 MySQL 实战》视频的学习笔记内容和个人整理扩展之后的笔记,在快速视频学习一遍之后发现了许多需要补充的点,比如三次握手的连接和Mysql的内部交互流程等等,关于后续的章节也会整合多篇文章后续会陆续发布。
前几天在网上进行了一个面试,关于数据库方面的面试题其实也没少背,但是这个面试官的问题多少让我有些触不及防,他没有询问比较常见的基础语法和优化的问题,而是让我解释一条SQL从客户端到服务端的执行流程,这让我十分尴尬,因为平时只顾应用层面的东西,没有真正去理解到更深层次的东西,所以遇到非常规问题,很容易蒙圈,希望大家以我为鉴,学习一个知识要尽量达到"知其然、知其所以然",这样即使面试官变换问题的角度,我们也能更好的应对回答,叨唠完了,正片开始!
Mysql的链接方式和微信一样,也是吧不同的客户端发来的消息,经过处理之后,再返回给客户端。
说起MySQL架构,即避免不了谈到舔狗和女神之间的关系了,可以将MySQL理解为是由客户端(舔狗)和服务端(女神)两部分组成,舔狗(客户端)可以是多种体现方式,当女神(服务端)"大姨妈"来的时候舔狗(客户端)可以是红糖水(如手机APP),当女神(服务端)生气时舔狗(客户端)可以是名牌包包(如电脑软件/网页)。
结构化查询语言,这个语言是一种开发语言。只要是关系型数据库都是用Sql语言。把Sql语言学会了,所有的关系型数据库基本都会了。只不过,不同的关系型数据库(例如Mysql和Oracle的sql语法基本一样,有些细节差异)。
本系统是博客+论坛于一体的系统。支持用户注册,写博客与发帖子。 采用的技术栈也简单,前后端都是 JS, 数据库只有 mysql。 Nodejs+ nextjs + reactjs + koajs + ant-design 采用接口与客户端分离开发,前台页面服务端渲染,jwt方式授权登录,方便开发多个客户端
在稳定性环境中,当 dble 初始化后端连接池后,后端连接池会出现连接计数器(totalConnections)和实际连接(allConnections)数量不符合的情况,理论情况下两个变量会保持最终一致性。
主机1:客户端 192.168.2.10 主机2:服务端 192.168.2.20
本篇为个人mysql专栏的第二篇,第二篇将会是关于连接管理以及存储引擎的讨论,以及mysql底层的交互过程,这个概念在之前的mysql专栏中有提到过,这里再一次进行总结,在第一篇开篇的时候讨论过这个专栏的内容大多数都是参考《从根上理解Mysql》这本书,这里再次强调一遍,后续专栏文章不会再进行赘述。
MySQL 客户端默认采用第一种方式,而如果加上–quick 参数,就会使用第二种不缓存的方式。采用不缓存的方式时,如果本地处理得慢,就会导致服务端发送结果被阻塞,因此会让服务端变慢。
从 MySQL 8.0.4 开始,MySQL 默认身份验证插件从 mysql_native_password 改为 caching_sha2_password 。相应地,libmysqlclient 也使用 caching_sha2_password 作为默认的身份验证机制。
在开启DefaultTyping的情况下,jackson在反序列化json时,可以指定反序列化类,且可以指定一个基础类型的值作为这个类的构造函数的参数的值。
要想写出更好的 SQL,一些基础概念和 SQL 调试是必不可少的。下面我们来看下查询优化器给我们做了哪些优化,执行器真正执行的 SQL 语句是什么。
先说结论: 这个说法不对,我们分服务器和客户端分开讨论,以下的讨论都基于服务器和客户端都只有 1 个 IP 地址。
其实,在写这篇博客之前,我也是感觉自己会点优化,至少知道不要使用“*”号啊,给经常查询的列创建索引啊什么的,其实都不是大家想的那样简单的,其实它们背后存在很多的东西,值得我们去理解和学习。 和大家分享讨论一个问题吧,子查询和连接查询哪一个查询速度快?最重要的目的是能帮助大家在以后的开发路上不要再犯我这种的错误,看到就是赚到,哈哈。 我的答案是连接查询。因为这是我在前几天的实践项目中亲身体会到的,感触颇深,在给我们公司的网站首页执行了一条统计SQL语句,当时我是用子查询写的sql语句,第一次执行了21
cacti、nagios、zabbix、smokeping、open-falcon等等。 cacti、smokeping偏向于基础监控,成图漂亮。 cacti、nagios、zabbix服务端监控中心,需要php环境支持,其中zabbix和cacti都需要mysql作为数据存储,nagios不用存储历史数据,注重服务或者监控项的状态;zabbix会获取服务或者监控项目的数据从而可以成图,zabbix把数据记录到数据库里,支持历史数据查询,而且zabbix可以非常方便的自定义监控项目。 open-falcon为小米公司开发,开源后受到诸多大公司和运维工程师的追捧,适合大企业,滴滴、360、新浪微博、京东等大公司在使用这款监控软件,值得研究。 本节学习以zabbix为例。
这应该是一个很早以前就爆出来的漏洞,而我见到的时候是在TCTF2018 final线下赛的比赛中,是被 Dragon Sector 和 Cykor 用来非预期h4x0r’s club这题的一个技巧。
最近学习了阿里资深技术专家李运华的架构设计关于读写分离的教程,颇有收获,总结一下。
进入mysql官网https://dev.mysql.com/downloads,在官网下载的是zip压缩包。
tcpdump在我们平时运维中充当了很重要的角色,对复杂问题的排查、分析起到了至关重要的作用,确实为运维中的一大利器。
我们也许有过这样的经历:用 mysql 客户端连上数据库,执行一条 SQL,结果迟迟执行不完,我们等得不耐烦了,顺手就是一个 Ctrl + C。
NFS配置选项 rw 读写 ro 只读 sync 同步模式,内存数据实时写入磁盘,相应的就会降低磁盘效率 async 非同步模式,它会每隔一段时间才会将数据刷新到磁盘 优势:能够保证磁盘的效率 劣势:万一断电,就会有可能丢失一部门数据 no_root_squash 客户端挂载NFS共享目录后,root用户不受约束,权限很大 NFS,要想在客户端上去使用服务端上共享的目录,需要去把它挂载到客户端上的一个挂载点,那就跟本地上的目录是一样的,在操作本地的目录时候,肯定会有一些权限设置,如果加上no_root_
在上一篇文章MySQL(五)|《千万级大数据查询优化》第二篇:查询性能优化(1)中讲到一条SQL的查询执行路径如下图5-1所示: 图5-1 步骤如下: 客户端发送一条查询给服务器。 服务器先检查查
今天这篇文章陈某介绍一下链路追踪相关的知识,以Spring Cloud Sleuth和zipkin这两个组件为主,后续文章介绍另外一种。
MySQL客户端在连接的时候可以添加一个-quick参数,MySQL客户端在发送请求后,接收服务端返回结果的方式有两种:
mysqld.socket文件是用来给客户端和服务端进行通信的,如果通过源码方式安装,默认情况下这个文件会被放在tmp目录下。当然也可以手动指定存放位置,通过修改/etc/my.cnf文件的socket参数来修改mysqld.socket的存放路径。例如:
这应该是一个很早以前就爆出来的漏洞,而我见到的时候是在TCTF2018 final线下赛的比赛中,是被 Dragon Sector 和 Cykor 用来非预期h4x0r's club这题的一个技巧。
去年写了一篇“【曹工杂谈】Mysql客户端上,时间为啥和本地差了整整13个小时,就离谱 ”,结果最近还真就用上了。
在 MySQL 中有两个 kill 命令:一个是 kill query + 线程 id,表示终止这个线程中正在执行的语句;一个是 kill connection + 线程 id,这里 connection 可缺省,表示断开这个线程的连接,当然如果这个线程有语句正在执行,也是要先停止正在执行的语句的。
主人看到navicat和mysql在那嘻嘻哈哈,眉来眼去的,好不快乐,忽然也想自己写个程序,直接去访问Mysql,虽然现在已经有很多现成的中间件可以直接拿来用了,程序只要负责写sql语句就行了,但是主人想要自己通过mysql协议直接和mysql通讯,一窥究竟。于是主人找到Mysql说:亲爱的mysql,我以前和你交流总要通过第三方的驱动在中间传话,总感觉我们之间还有一个隔阂,有些话也不方便说,我现在有些心里话想直接和你交流。。。你说行吗?
蜜罐是对攻击者的欺骗技术用以监视、检测、分析和溯源攻击行为其没有业务上的用途所有流入/流出蜜罐的流量都预示着扫描或者攻击行为;因此可以比较好的聚焦于攻击流量。
Hive中搭建分为三中方式 a)内嵌Derby方式 b)Local方式 c)Remote方式 三种方式归根到底就是元数据的存储位置不一样。
A,B,C三台机器上需要被访问到的文件是一样的,A共享数据出来,B和C分别取挂载A共享的数据目录,从而B和C访问到的数据和A上的一致。
Linux 下的rsyslog有向远程发送日志的功能,出于安全和审计需要,可以将服务器的日志集中起来管理。加上图形化的日志分析工具,我们可以很直观的发现日志中的问题,配合常规的监控系统,以实现基于日志的颗粒化运维。
这次选用nodejs+express+mysql 使用http作为客户端,express框架搭建服务端,从而实现数据的增删改查。这篇文章可以算作上篇文章的升级篇,加入了和数据库的交互。
多年前开发过一个异步发送订单短信、邮件通知的守护程序,每次程序启动时会创建数据库连接,后续读写数据库操作就一直复用这个连接。
本文是 MySQL 简单查询语句执行过程分析 6 篇中的第 6 篇,第 1 ~ 5 篇请看这里: 1. 词法分析 & 语法分析 2. 查询准备阶段 3. 从 InnoDB 读数据 4. WHERE 条件 5. 发送数据给客户端
前段时间我们在「巧用 Cowrie 部署 SSH 蜜罐,让黑客攻击无处遁形!」 一文中给大家介绍了一款好用开源的 SSH 蜜罐系统,但遗憾的是这个蜜罐系统只支持 SSH 这一种协议。
Rsyslog的全称是 rocket-fast system for log,它提供了高性能,高安全功能和模块化设计。rsyslog能够接受从各种各样的来源,将其输入,输出的结果到不同的目的地。rsyslog可以提供超过每秒一百万条消息给目标文件。
下载最新的 FRP :https://github.com/fatedier/frp/releases 几种常用架构如:
以管理员方式启动命令控制台 cd /d D:\Home\mysql-8.0.28-winx64\bin MYSQL安装目录新建data文件夹,和新建my.ini文件 myini: [mysqld] # 设置3306端口 port=3306 # 设置mysql的安装目录 ----------是你的文件路径------------- basedir=D:\Home\mysql-8.0.28-winx64 # 设置mysql数据库的数据的存放目录 ---------是你的文件路径data文件
下载地址:https://dev.mysql.com/downloads/mysql/
领取专属 10元无门槛券
手把手带您无忧上云