如何应对针对MariaDB的特有SQL注入技巧_针对性配置安全过滤开关-SQL-PHP中文网

MariaDB SQL注入防御关键在于关闭高危通道：禁用local_infile、设secure_file_priv为NULL或专用路径、禁用FEDERATED引擎和system()函数、撤销FILE/SUPER权限。

如何应对针对mariadb的特有sql注入技巧_针对性配置安全过滤开关

MariaDB 的 SQL 注入防御不能只靠通用规则，它有自己的一套“后门通道”——比如 LOAD DATA LOCAL INFILE、SELECT ... INTO OUTFILE、system() 函数、FEDERATED 引擎，这些在 MySQL 中也存在，但在 MariaDB 里更活跃、默认更宽松。关掉它们，不是防住注入本身，而是让注入成功后没法导出数据、写文件、调系统命令、跨库执行。

必须禁用 local_infile 和 secure_file_priv

这两个开关是攻击者拖库的黄金组合：local_infile=ON 允许客户端发起本地文件读取；secure_file_priv 为空或设为 /tmp 时，INTO OUTFILE 就能任意路径写 shell 或数据库备份。

检查当前状态：SHOW VARIABLES LIKE 'local_infile'; 和 SHOW VARIABLES LIKE 'secure_file_priv';
在 /etc/my.cnf.d/server.cnf（或 /etc/mysql/mariadb.conf.d/50-server.cnf）的 [mysqld] 段下添加：
```
[mysqld]
local_infile = OFF
secure_file_priv = /var/lib/mysql-files/
```
注意：/var/lib/mysql-files/ 必须真实存在且仅 mysql 用户可写，不能是 /tmp 或空值
重启服务：sudo systemctl restart mariadb，再验证是否生效

禁用 FEDERATED 和 system() 等高危存储引擎与函数

MariaDB 默认启用 FEDERATED，攻击者一旦拿到注入点，可用 CREATE TABLE ... ENGINE=FEDERATED 连接远程恶意 MySQL 实例，绕过网络隔离执行任意查询；system() 函数（需 SYSTEM_VARIABLES_ADMIN 权限）则直接执行系统命令。

禁用引擎：在配置中加 disabled_storage_engines = "FEDERATED"（MariaDB 10.2+ 支持）
禁用 system()：该函数属于 sys 插件，卸载即可：UNINSTALL SONAME 'lib_mysqludf_sys'（前提是没手动装过；若已装，必须删）
检查是否残留：SELECT * FROM mysql.func WHERE name = 'system';，有结果就 DROP FUNCTION system;

限制用户 file_priv 和 super_priv 权限

file_priv 决定能否用 LOAD_FILE() 或 INTO OUTFILE；super_priv 控制能否修改全局变量（比如临时开启 local_infile）。非 root 管理账号不该有这两项。

MagicForm

MagicForm是一款用于创建智能表单、线索问答和销售资格筛选的 AI 表单工具。

下载

查高危权限用户：SELECT user, host, file_priv, super_priv FROM mysql.user WHERE file_priv = 'Y' OR super_priv = 'Y';
撤销权限（以非 root 用户为例）：REVOKE FILE ON *.* FROM 'appuser'@'%';，REVOKE SUPER ON *.* FROM 'appuser'@'%';
执行 FLUSH PRIVILEGES; 生效
特别注意：root@localhost 可以保留，但 root@% 必须删掉或严格限制 host