Почему важно иметь пароль для вашей базы данных? (например, в Rails)

Question

Мой вопрос прост: как человек может получить доступ к моей базе данных на производстве, если он знает мой пароль? Я знаю, что это можно сделать, потому что в противном случае вам не нужно было бы устанавливать для него пароль, но я действительно хочу знать, как это сделать.

Кроме того, если кто-то знает пароль для моей базы данных, может ли он выполнить все запросы к моей базе данных (не только SELECT, но и те, которые изменяют базу данных)?

Answer 1

Как человек может получить доступ к моей базе данных на производстве, если он знает мою пароль

Через эксплойт или другой скрипт, с помощью которого они могут установить соединение.

если кто-то знает пароль для моей базы данных, сможет ли он выполнить все запросы к моей базе данных (не только SELECT, но и те, которые изменяют база данных)

Они могут выполнять все, на что имеет право эта учетная запись. Это веская причина, по которой логинам приложений предоставляются только минимальные права. Как правило, в полнофункциональных системах баз данных вы можете назначить приложению роль / учетную запись только SELECT для определенных таблиц или представлений (возможно, даже не для всех столбцов) и, как правило, изменять данные только с помощью хранимых процедур. Минимизируя таким образом площадь поверхности, вы получаете глубокую защиту, поэтому не только учетная запись защищена паролем, но и учетная запись имеет только определенную поверхность атаки. Это только одна часть вашего общего процесса безопасности.

Answer 2

Ваша база данных находится на сервере, компьютере, как и любой другой. У него есть MAC-адрес, возможно, сетевая карта и, самое главное, IP-адрес.

Если вы когда-либо использовали утилиту удаленного подключения Windows, вас попросят указать IP-адрес компьютера и учетные данные для входа в учетную запись пользователя. Оттуда вы откроете систему управления базой данных (это просто приложение , работающее на компьютере), и как только вы войдете в базу данных, она просто будет сидеть там. Так же, как и для вас.

Процесс удаления всей вашей тяжелой работы для злоумышленника включает в себя те же самые шаги, которые вы предприняли бы! Выберите надежный пароль и не храните конфиденциальную информацию в общедоступных каталогах на сервере!