Cara meneruskan kata sandi ke baris perintah mysql

Saya memiliki kata sandi MySQL yang disimpan di file foo.php, misalnya P455w0rd, ketika saya mencoba menggunakannya:

$ cat foo.php | grep '$dbpwd=' | cut -d '"' -f 2 | mysql -U root -p mydb -h friendserver
Enter password: (holds)

$ echo P455w0rd | mysql -u root -p mydb -h friendserver
Enter password: (holds)

Kedua opsi masih meminta kata sandi, dari mana cara yang benar untuk mengirim kata sandi stdin?

password mysql stdin

— Kokizzu
sumber

tidak boleh kosong antara -pdan kata sandi Anda.

— Fırat KÜÇÜK

mysql tidak membaca kata sandi dari stdin, saya tidak dapat mengetahuinya dari mana ia membacanya.

— Omn

Jawaban yang tepat adalah jangan letakkan kata sandi Anda di baris perintah di mana siapa pun yang memiliki akses /procdapat dengan sepele membacanya selama program sedang berjalan . Itulah ~/.my.cnfgunanya, dengan benar diubah menjadi 0600

— Shadur

Jawaban:

Anda harus sangat berhati-hati bagaimana Anda mengirimkan kata sandi ke baris perintah karena, jika Anda tidak hati-hati, Anda akan membiarkannya terbuka untuk mengendus menggunakan alat seperti ps.

Cara teraman untuk melakukan ini adalah membuat file konfigurasi baru dan meneruskannya dengan mysqlmenggunakan opsi baris perintah --defaults-file=atau --defaults-extra-file=.

Perbedaan antara keduanya adalah bahwa yang terakhir dibaca selain file konfigurasi default sedangkan dengan yang pertama, hanya satu file yang dilewatkan sebagai argumen yang digunakan.

File konfigurasi tambahan Anda harus berisi sesuatu yang mirip dengan:

[client]
user=foo
password=P@55w0rd

Pastikan Anda mengamankan file ini.

Lalu lari:

mysql --defaults-extra-file=<path to the new config file> [all my other options]

— garethTheRed
sumber

MySQL akan memodifikasinya argvuntuk menimpa parameter yang diberikan pada -pflag. Setidaknya itulah yang disimpulkan di sini, bersama dengan info relevan lainnya: unix.stackexchange.com/questions/78757/…

— Kusalananda

Ini adalah solusi terbaik, karena memberikan ukuran keamanan. Anda perlu chmod go-rwx, dan pastikan argumen ini mendahului semua argumen lainnya.

— ChuckCottrill

@ Kusalananda, ya, tapi sesuai komentar di unix.stackexchange.com/q/385339/135943 , itu tidak berarti itu aman!

— Wildcard

Mungkin perlu menambahkan catatan tentang --login-pathsekarang ini didukung. Ini tidak jauh lebih baik dari ini, tetapi sedikit kurang teks biasa (meskipun penghalang untuk mengubah konten menjadi plaintext rendah).

— Geoffrey Wiseman

Set MYSQL_PWD di lingkungan ( export MYSQL_PWD=muhpassword) dan jalankan perintah Anda tanpa -p. Lihat Variabel Lingkungan Program MySQL . Terlepas dari peringatan mengerikan manual ini , ini agak aman . Kecuali Anda memulai warez aneh di shell yang sama nanti. Jadi kita jalankan:MYSQL_PWD=$(cat foo.php etc) mysql -u foouser -h barhost

— David Tonhofer

The mysqlutilitas klien dapat mengambil password pada baris perintah dengan baik -patau --password=pilihan.

Jika Anda menggunakan -p, tidak boleh ada ruang kosong setelah surat opsi:

$ mysql -pmypassword

Saya lebih suka opsi panjang dalam skrip karena mereka mendokumentasikan diri:

mysql --password=mypassword --user=me --host=etc

— Kusalananda
sumber

Ini tidak aman karena setiap pengguna dapat melihat kata sandi - baik secara langsung melalui /proc/$pid/cmdlineatau melalui psperintah. Memang benar bahwa mysql menimpa kata sandi di argv selama startup tetapi selalu ada jendela waktu di mana pengguna lain dapat mengamati kata sandi. Juga, pada beberapa sistem, penulisan ulang argv mungkin tidak berfungsi.

— maxschlepzig

Jika Anda ingin memulai mysqldengan kata sandi asalkan Anda harus mengambil kata sandi dalam sebuah variabel terlebih dahulu:

MYSQLPASS=`cat foo.php | grep '$dbpwd=' | cut -d '"' -f 2`

Kemudian Anda dapat memulai mysqlperintah Anda dengan:

mysql -U root -p ${MYSQLPASS} mydb -h friendserver

— Lambert
sumber

Ini juga membahayakan keamanan kata sandi Anda . Perhatikan bahwa ada MYSQL_PWDvariabel lingkungan yang dibaca mysqljika Anda tidak menentukan -p. Dan di Linux ini adalah metode yang aman karena lingkungan pengguna tidak dapat dibaca oleh pengguna yang tidak diprivasi - berbeda dengan vektor argumen.

— maxschlepzig