禁用file、process、super权限是防止sql注入提权的关键措施：这些权限允许读取服务器文件、查看敏感会话、修改全局变量，必须通过revoke显式回收并用show grants验证；同时需配置secure_file_priv为受限目录、禁用local_infile、清理高危udf，并结合waf或白名单机制拦截变形注入载荷。
MySQL 中禁用 FILE、PROCESS、SUPER 权限防止提权
应用账号一旦拥有 FILE、PROCESS 或 SUPER 权限，攻击者通过 SQL 注入就可能读取服务器文件（如 /etc/passwd）、查看其他会话语句（含明文密码）、甚至动态修改全局变量（如关闭 sql_mode 绕过严格校验）。这些权限不是业务必需，却是提权链的关键跳板。
执行以下操作显式剥离：
REVOKE FILE ON *.* FROM 'app_user'@'%';REVOKE PROCESS, SUPER ON *.* FROM 'app_user'@'%';- 确认已无残留：
SHOW GRANTS FOR 'app_user'@'%';
注意：REVOKE 不报错不代表权限原本存在——它只是“尽力移除”，所以必须用 SHOW GRANTS 验证结果。生产环境应定期巡检，尤其在账号复用或权限继承场景下容易遗漏。
限制 LOAD DATA INFILE 和 SELECT … INTO OUTFILE 执行能力
这两个语句是 SQL 注入后读写任意文件的主力手段，配合 secure_file_priv 配置可彻底封死路径自由度。
关键配置项必须设为非空且受限目录：
- 启动时加参数：
--secure-file-priv=/var/lib/mysql-files/ - 或运行时设置：
SET GLOBAL secure_file_priv = '/var/lib/mysql-files/';（需SUPER权限，设完要重启生效） - 同时禁用本地文件加载：
SET GLOBAL local_infile = OFF;（并确保启动参数含--local-infile=0）
若 secure_file_priv 为 NULL 或空字符串，LOAD DATA INFILE 将被完全禁用，但部分旧应用会因此报错；设为具体目录更可控，也便于审计文件操作日志。
禁用危险函数与存储过程防止远程命令执行
MySQL 本身不支持直接执行系统命令，但攻击者可通过以下方式间接达成：
- 利用
sys_exec()/sys_eval()（需安装lib_mysqludf_sysUDF） - 滥用
SELECT ... INTO DUMPFILE写入 Web 目录生成后门 PHP 文件 - 调用
LOAD_FILE()读取 Apache/Nginx 配置，再结合文件写入定位敏感路径
防御动作分两层：
— 运行时检查是否加载了高危 UDF：SELECT * FROM mysql.func WHERE name LIKE '%sys%';，若有则立即 DROP FUNCTION sys_exec;
— 对业务账号显式拒绝函数执行权限：REVOKE EXECUTE ON FUNCTION mysql.sys_exec FROM 'app_user'@'%';
UDF 是手动安装的扩展，不在默认安装范围内，但运维误操作或第三方脚本可能引入。上线前应扫描 mysql.func 表，上线后禁止普通账号有 CREATE ROUTINE 或 EXECUTE 权限。
MySQL Enterprise Firewall 或社区替代方案的实际拦截点
MySQL 官方企业版的 mysql_firewall 插件能基于白名单学习合法语句模式，对首次出现的 UNION SELECT、SLEEP(5)、LOAD_FILE 等自动阻断。但社区版 MySQL 不含此功能，需依赖：
- Percona Server 的
audit_log（记录所有语句 + IP + 用户，用于事后溯源） - 外部 WAF（如 ModSecurity 规则匹配
union\s+select、1\s*=\s*1等模式） - 自建 SQL 解析中间件（如使用
sqlparsePython 库做预检）
真正起效的拦截必须发生在语句到达 MySQL 之前（WAF 层）或刚进入时（企业防火墙），而不是靠应用层 try-catch 捕获错误——因为很多提权操作不报错，只静默成功。
最易被忽略的是：防火墙规则只拦语法特征，拦不住 Base64 编码、HEX 编码、宽字节绕过等变形载荷。所以白名单机制比黑名单更可靠，而白名单必须由真实业务流量学习生成，不能靠人工猜。
