WordPress, seguridad de su base de datos

A la hora de instalar y mantener un WordPress seguro, no solo es necesario mantener los plugins y wordpress actualizados. También hay que tener en cuenta unas medidas adicionales de seguridad en cuanto a la base de datos se refiere.

  • Eliminar la base de datos de pruebas:

Mysql por defecto almacena una base de datos de prueba llamada “test”, cuyos permisos permiten el acceso de usuarios anónimos, por lo que se expone a recibir muchos tipos de ataques. Por ello, la recomendación es eliminar esta base de datos.

mysql_base_de_datos

Desde la consola de Mysql, ejecutamos el siguiente comando:

Mysql> drop database test;
  • Eliminar la cuentas anónimas

Por defecto, mysql activara ciertas cuentas anónimas que no necesitan contraseña or lo que cualquier atacante podría conseguir acceso al sistema de forma sencilla. Para comprobar si las tenemos activadas en nuestro servidor, haremos la siguiente consulta:

Mysql > select * from mysql.user where user = ””;

También se podría hacer hacer estas consultas:

Mysql> SHOW GRANTS FOR “@’localhost’;
Mysql> SHOW GRANTS FOR “@’myhost’;

Si no devuelve ningún resultado, es que esta correcto.

show_grants

Desde la versión 5.0 de MySQL, para eliminar estas cuentas, ejecutaremos el siguiente comando:

Mysql> DROP USER “”;

Para versiones de MySQL anteriores a 5.0, podemos eliminar estas cuentas con las siguientes consultas:

Mysql> use mysql;
Mysql> DELETE FROM user WHERE user=””;
Mysql> flush privileges;

REDUCIR LOS PRIVILEGIOS DEL SISTEMA

Para evitar la exposición a los ataques, habrá que reducir los privilegios con los que se ejecuta MySQL. En versiones superiores a la 5.0, los permisos estarán correctos y no será necesario realizar ninguna variación.

En versiones inferiores a 5.0 habrá que revisar y comprobar que el directorio del servicio está asignado al grupo y usuario ‘mysql’:

$ ls –l /var/lib/mysql

mysql

Tendremos que comprobar que el usuario ‘mysql’ y ‘root’ tienen acceso al directorio ‘/var/lib/mysql’.

Tambien que los binarios que se encuentran en el directorio ‘/usr/bin/’, deberán tener como propietario al usuario ‘root’ o al que ejecute el servicio ‘mysqld’. Ningún otro usuario debe tener permisos de escritura sobre estos ficheros:

$ls –l /usr/bin/my*

usr_bin_permissions

ELIMINAR EL HISTORIAL

Durante el proceso de instalación de la base de datos es probable que se utilice información sensible que debe ser eliminada del historial, para evitar que cualquier atacante que consiga acceder al sistema
no tenga acceso a ella.

Esta accion se puede realizar incluyendo el siguiente comando en nuestro fichero de inicio de
sesión de la Shell (en el caso de utilizar Bash sería .basrhc):

cat /dev/null > ~/.mysql_history

Comparte este tutorial:

No hay comentarios en este tutorial

Sé el primero en enviar un comentario: