phpMyAdmin

芝麻绿豆

请问大拿们管理员用户名和密码除了在config.inc.php中还有别的文件也有设置吗？
第一次安装后，使用在config.inc.php中的用户名和密码，显示
#1045 - Access denied for user 'xxx'@'xxxx' (using password: YES)

huazhb

你要输入Mysql的口令密码吧。

芝麻绿豆

我完全是小白。mysql的密码在哪里找？

Limitless

你安装mysql的时候设置的什么密码……

芝麻绿豆

mysql是nas内嵌的，就点了一下开启，没让设置密码

Limitless

你试试用户名root，密码空白

芝麻绿豆

试过了，说是配置不允许密码为空

windix

我查了下，你在配置文件中增加下面这个设置就行了(不过我没试过)

$cfg['Servers'][$i]['nopassword'] boolean
Allow attempt to log in without password when a login with password fails. This can be used together with http authentication, when authentication is done some other way and phpMyAdmin gets user name from auth and uses empty password for connecting to MySQL. Password login is still tried first, but as fallback, no password method is tried.

或者干脆就设置个密码

Limitless

root密码为空还是很不好的，能从外网访问的话别人连过来就是root权限，本机倒没关系。我建议你还是用mysql cli改个密码，然后再填到phpmyadmin里

windix

原帖由 Limitless 于 2011-8-21 22:19 发表
root密码为空还是很不好的，能从外网访问的话别人连过来就是root权限，本机倒没关系。我建议你还是用mysql cli改个密码，然后再填到phpmyadmin里

可以设置只能本地IP访问的

芝麻绿豆

谢谢ls，
加了设置，加了密码，都不行。

感觉像是别的问题，不是密码的问题。晕啊。

blueair

你的数据库名称和主机名称是否正确？

Limitless

原帖由 windix 于 2011-8-22 07:57 发表


可以设置只能本地IP访问的

如果连接数据库的程序有漏洞，可以从外网访问，又用root权限连着数据库……多么省事啊，连提权都不用了……

[ 本帖最后由 Limitless 于 2011-8-22 16:17 编辑 ]

windix

原帖由 Limitless 于 2011-8-22 16:09 发表


如果连接数据库的程序有漏洞，可以从外网访问，又用root权限连着数据库……多么省事啊，连提权都不用了……

其实不是和你抬杠，如果你都能通过漏洞，比如SQL注入，获得控制权了，也不在乎root密码是啥了。有没有密码没什么区别。
但是mysql root用户不等同于系统root用户，不像SQL SERVER那样能通过漏洞获得系统shell那么严重。

psveind

试试用 mysql 命令行连接。
可能默认空密码

然后
update user set password='********' where User='root';

Limitless

原帖由 windix 于 2011-8-22 21:39 发表


其实不是和你抬杠，如果你都能通过漏洞，比如SQL注入，获得控制权了，也不在乎root密码是啥了。有没有密码没什么区别。
但是mysql root用户不等同于系统root用户，不像SQL SERVER那样能通过漏洞获得系统shell那么严重。

mysql 有内建function可以读取写入文件，你用root登录就是root权限，/etc/shadow随便看随便改

windix

原帖由 Limitless 于 2011-8-22 22:45 发表
mysql 有内建function可以读取写入文件，你用root登录就是root权限，/etc/shadow随便看随便改

mysql的root用户不等同于系统的root用户。当然如果你没有好习惯，平时使用你的机器就是用root account的话那就当我没说。
确实 "LOAD DATA" 命令可以从系统读文件，但是读的都是普通用户可以读的文件。你给的例子很好，我确实去试了一下：

首先，/etc/shadow 确实是只有root用户才能读的：

1. $ cat /etc/shadow
   
2. cat: /etc/shadow: Permission denied

复制代码

下面我用mysql root用户登入，来读下文件：

1. $ mysql -uroot -p
   
2. Enter password:
   
3. Welcome to the MySQL monitor.  Commands end with ; or \g.
   
4. Your MySQL connection id is 6385
   
5. Server version: 5.1.54-1ubuntu4 (Ubuntu)
   
6. 
   
7. Copyright (c) 2000, 2010, Oracle and/or its affiliates. All rights reserved.
   
8. This software comes with ABSOLUTELY NO WARRANTY. This is free software,
   
9. and you are welcome to modify and redistribute it under the GPL v2 license
   
10. 
    
11. Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
    
12. 
    
13. mysql> use test;
    
14. Reading table information for completion of table and column names
    
15. You can turn off this feature to get a quicker startup with -A
    
16. 
    
17. Database changed
    
18. mysql> LOAD DATA INFILE '/etc/passwd' INTO TABLE test;
    
19. Query OK, 38 rows affected (0.01 sec)
    
20. Records: 38  Deleted: 0  Skipped: 0  Warnings: 0
    
21. 
    
22. mysql> LOAD DATA INFILE '/etc/shadow' INTO TABLE test;
    
23. ERROR 1085 (HY000): The file '/etc/shadow' must be in the database directory or be readable by all
    
24. mysql>

复制代码

你可以看到，/etc/passwd是随便读的，但是/etc/shadow确读不出来。
mysql一般使用的都是系统中的mysql用户，不管mysql中登录进的用户是什么。你的混淆可能在于，如果命令行上面不给出用户(-u username)，系统会默认发送当前用户给mysql.

Limitless

原帖由 windix 于 2011-8-23 13:18 发表


mysql的root用户不等同于系统的root用户。当然如果你没有好习惯，平时使用你的机器就是用root account的话那就当我没说。
确实 "LOAD DATA" 命令可以从系统读文件，但是读的都是普通用户可以读的文件。你给的例子很好， ...

那看来是服务器配置不同了，可能你的这个做过加固设置？很多服务器的mysql是root权限执行的

windix

原帖由 Limitless 于 2011-8-24 00:00 发表

那看来是服务器配置不同了，可能你的这个做过加固设置？很多服务器的mysql是root权限执行的

没有，我的就是 Ubuntu 11.04 的 mysql 缺省安装.

Ubuntu / Debian系使用的方法是直接用 mysql 用户启动 mysqld:

1. $ ps aux | grep mysqld
   
2. yourself   13266  0.0  0.0  93544  1060 pts/3    S+   14:12   0:00 grep --color=auto mysqld
   
3. mysql    30567  1.0  1.0 249620 61588 ?        Ssl  Aug23  14:12 /usr/sbin/mysqld

复制代码

我也特意查看了一下手边的一台装 redhat / CentOS 的服务器, redhat系使用的方法是用 root 用户启动 mysqld_safe 守护进程，然后它再改成用 mysql 用户启动实际的 mysqld. 所以一样也是安全的。

1. $ ps aux | grep mysqld
   
2. yourself       3655  0.0  0.0  61176   740 pts/0    S+   13:43   0:00 grep mysqld
   
3. root      4193  0.0  0.0  65952  1312 ?        S    Jan24   0:00 /bin/sh /usr/bin/mysqld_safe --datadir=/home/mysql --pid-file=/var/run/mysqld/mysqld.pid
   
4. mysql     4374 24.1 74.9 6698524 6127008 ?     Sl   Jan24 73753:46 /usr/sbin/mysqld --basedir=/ --datadir=/home/mysql --user=mysql --log-error=/var/lib/mysql/mysqld.log --pid-file=/var/run/mysqld/mysqld.pid --socket=/var/lib/mysql/mysql.sock --port=3306

复制代码