前三篇掌握了 SQL 语法、数据库结构枚举和注入原理。这一篇进入数据库安全的纵深方向------当 SQL 注入不只是"查数据"，而是能读写服务器文件时，风险等级会发生什么变化？MySQL 的用户和权限体系是怎么回事？secure_file_priv 为什么是关键防线？这一篇从权限、文件读写和安全加固三个维度，建立完整的数据库安全认知框架。
一、从数据层到文件层
1.1 什么是文件读写
MySQL 本来主要负责"存和查表里的数据"。但一旦它还能访问操作系统文件系统，就等于多了一个跨边界能力：
- 文件读取：数据库服务进程把服务器上某个文件的内容读出来，作为查询结果返回
- 文件写入：把 SQL 查询的结果写成服务器磁盘上的文件
| 方向 | 本质 | 风险 |
|---|---|---|
| 文件读取 | 服务器文件 → 查询结果 | 泄露配置文件、数据库密码、网站路径 |
| 文件写入 | 查询结果 → 服务器文件 | 写入 Web 目录可能变成可执行脚本 |
1.2 为什么这很危险
同样是 SQL 注入，有的只能查出几条数据，有的能碰文件。能不能碰文件，决定了漏洞危害是停留在"数据泄露"，还是升级到"服务器侧控制风险"。
关键分水岭：能否触达服务器文件系统，是决定 SQL 注入风险等级上限的核心判断标准。
二、MySQL 用户与权限体系
2.1 用户不是只有用户名
在 MySQL 里，用户不是"某个真实的人"，而是一个登录身份。完整格式是：
'用户名'@'主机'理解成"谁可以从哪里进来"------user 是名字，host 是允许登录的位置。例如：
'root'@'localhost'：只允许本机连接'root'@'%'：允许任意远程主机连接（极度高危）
root@localhost和root@%不是同一个账号。user + host 才共同决定一个 MySQL 账号。
2.2 认证与授权的区别
| 概念 | 解决的问题 | 例子 |
|---|---|---|
| 认证 | 你是谁，能不能登录 | 输入正确密码后登录成功 |
| 授权 | 登录后你能做什么 | 只能 SELECT，不能 INSERT 或 FILE |
2.3 权限的作用范围
MySQL 的权限不是只分"有"和"没有"，还分"对什么对象有"：
GRANT SELECT ON school.*：只能查 school 库的所有表GRANT SELECT ON school.classes：只能查 classes 表GRANT SELECT(class_name) ON school.classes：只能查 class_name 列
2.4 FILE 权限------最危险的全局权限
FILE 是全局权限，不是某个库某张表的权限。如果一个账号拥有 FILE 权限，就具备读取服务器文件、写入服务器文件、导入导出文件的能力。
sql
-- 查看当前账号权限
SHOW GRANTS;
-- 查看指定账号权限
SHOW GRANTS FOR 'root'@'localhost';
-- 查看账号是否有 FILE 权限
SELECT user, host, file_priv FROM mysql.user;如果
file_priv是 Y，说明该账号拥有 FILE 权限。生产环境中，普通业务账号绝不应拥有 FILE 权限。
三、文件读写的方向与条件
3.1 读写的是谁的文件
最容易混淆的不是"能不能读写"，而是"读写的到底是谁的文件"：
| 方向 | 操作对象 | 风险等级 |
|---|---|---|
| LOAD_FILE() / INTO OUTFILE | 数据库服务器端文件 | 高危，攻击核心目标 |
| LOAD DATA LOCAL INFILE | 客户端本地文件 | 一般不涉及服务端风险 |
一定要建立"物理隔离"概念：LOAD_FILE() 读的是 MySQL 服务器上的文件，不是你自己电脑上的文件。如果数据库在远程服务器上，读的是远程数据库服务器的文件。
3.2 风险形成的四个条件
文件读写风险不是单一因素导致的，需要多个条件同时满足：
- 高危权限：当前数据库账号必须具备 FILE 权限
- 配置疏漏：secure_file_priv 没有有效限制
- 系统权限：MySQL 服务进程对目标文件或目录有操作系统权限
- 环境状态：目标路径有效、文件不存在（写入时）、目录可写
面试题"SQL 注入写文件需要哪些条件"，本质就是这些条件的组合。
四、版本差异：MySQL 5.5 vs 5.7
4.1 旧版本的宽松配置
MySQL 5.5.29 发布较早，在文件 I/O 安全控制上相对宽松：
secure_file_priv默认未设置或为空，无路径限制- 拥有 FILE 权限的账号可以读取服务器任意文件、写入任意目录
- 风险敞口大，容易成为突破口
4.2 新版本的安全增强
MySQL 5.7.26 引入了更严格的文件导入导出控制：
secure_file_priv默认设为 NULL 或特定目录- 即使有 FILE 权限，也会被目录限制挡住
- 安全性显著提升
安全分析不能只看"有没有 FILE 权限"，还必须结合数据库版本和 secure_file_priv 配置综合判断。
五、secure_file_priv------关键防线
5.1 三种状态
secure_file_priv 是限制 MySQL 文件导入导出目录范围的核心配置，常见三种状态：
| 配置值 | 效果 |
|---|---|
| 空值 | 不限制，允许任意目录读写（危险） |
| 指定目录（如 D:/mysql_uploads/） | 只允许在该目录范围内导入导出 |
| NULL | 完全禁用文件导入导出（最安全） |
5.2 防御价值
它同时防御两类攻击：
- 防御读敏感文件：攻击者不能随意读取系统配置文件
- 防御写 Web 目录：即使有 FILE 权限，也无法直接写入 Web 根目录
即使文件写入成功，如果目录不是 Web 根目录，浏览器也无法直接解析访问，风险就被限制住了。
5.3 配置方法
secure_file_priv 不是动态变量，不能用 SET GLOBAL 临时修改。正确做法是修改 MySQL 配置文件 my.ini：
ini
[mysqld]
secure_file_priv=NULL修改后需要重启 MySQL 服务才能生效。生产环境推荐设为 NULL，或设为一个独立、不可被 Web 访问的导入导出目录。
六、数据库密码安全
6.1 密码存在哪里
MySQL 账号信息存放在系统库 mysql 中，核心表是 mysql.user：
- MySQL 5.5：字段为
user, host, password - MySQL 5.7：字段为
user, host, plugin, authentication_string
不同版本字段名不完全一样，注意版本差异。
6.2 哈希而非明文
数据库中通常不直接保存明文密码，保存的是哈希值或认证字符串。登录时计算哈希并比对完成认证。
但拿到哈希不等于安全：
- 弱密码可能被离线破解
- 如果多个环境复用同一密码，风险会扩大
- 如果同时能读取 Web 配置文件，可能直接拿到数据库连接明文密码
6.3 文件读取如何泄露更多密码
风险升级链：
SQL注入 → 拿到FILE权限 → 读取Web配置文件 → 获取数据库明文密码 → 横向移动攻击其他系统所以数据库密码安全不仅是"密码复杂度"问题，还包括配置文件不能被任意读取、业务账号权限不能过大。
七、纵深防御与安全加固
核心原则是最小权限原则------账号只授予完成工作所必需的最小权限。
| 加固措施 | 具体做法 |
|---|---|
| 禁止高权限连接 | 业务系统绝不使用 root 或超级管理员账号 |
| 严控高风险权限 | 非必要业务账号不授予 FILE 权限 |
| 配置 secure_file_priv | 设为 NULL 或独立不可 Web 访问的目录 |
| 最小化 Web 目录权限 | 操作系统层面限制 MySQL 进程写 Web 目录 |
| 审计危险语句 | 监控 LOAD_FILE、INTO OUTFILE 等高风险操作 |
| 定期排查弱口令 | 扫描弱口令、权限漂移和配置失控 |
MySQL 文件读写能力本身不是漏洞。当 SQL 注入、FILE 权限、Web 目录可写、secure_file_priv 缺失同时出现时，风险才会被放大。
八、易错点总结
| 易错点 | 正确理解 |
|---|---|
| 混淆文件读写方向 | LOAD_FILE() 读的是服务器文件，不是本机文件 |
| 混淆认证与授权 | 认证解决"能不能登录"，授权解决"登录后能做什么" |
| 只查 FILE 权限忽略配置 | 还要检查 secure_file_priv 是否限制了目录 |
| 忽略版本差异 | 5.5 默认宽松，5.7 默认严格，安全机制在演进 |
| 忽略系统进程权限 | MySQL 是服务进程在读文件，不是当前桌面用户 |
| 以为注入必然高危 | 没有 FILE 权限或 secure_file_priv 限制时，注入可能只能查数据 |
九、知识小结
| 知识模块 | 核心内容 | 一句话速记 |
|---|---|---|
| 文件读写 | LOAD_FILE读服务器文件，INTO OUTFILE写文件 | 数据库能力向系统层延伸 |
| 用户身份 | '用户名'@'主机'，host决定来源限制 | root@localhost ≠ root@% |
| 认证与授权 | 认证=能不能登录，授权=登录后能做什么 | 两回事 |
| FILE权限 | 全局高风险权限，允许读写服务器文件 | 业务账号不应拥有 |
| 服务器vs客户端 | LOAD_FILE/OUTFILE操作服务器端文件 | 不是读写本机文件 |
| secure_file_priv | 限制导入导出目录范围，NULL完全禁用 | 关键防线 |
| 版本差异 | 5.5宽松，5.7严格 | 安全机制在演进 |
| 密码存储 | 哈希而非明文，但弱哈希仍可被破解 | 最小权限+强密码 |
| 纵深防御 | 最小权限+配置加固+审计监控 | 风险是多因素叠加 |
从数据层到文件层，从用户权限到 secure_file_priv，这一篇建立的是数据库安全的纵深认知。核心观点：MySQL 文件读写能力本身不是漏洞，风险根源是"高权限、弱配置、注入漏洞"三者叠加。学会判断数据库风险是否已经越过数据层、影响到服务器本身，是区分"数据泄露"和"服务器沦陷"的关键能力。