0x00 背景

zabbix数据库如果密码泄露被登录并新增管理员如何快速发现？并进行溯源？

本文介绍数据库本身未开启access log的情况。

0x01 实践

Mysql 数据库查insert

SELECT * FROM `sys`.`host_summary_by_statement_type` where statement like '%insert%'

查询数据库用户登录源ip限制

SELECT User, Host FROM mysql.user;

查询跟zabbix数据库相关的insert操作的语句和执行时间

SELECT * FROM `sys`.`x$statement_analysis` where query like '%INSERT INTO `zabbix`%'

查询当前正在执行的查询和用户信息

SELECT * FROM information_schema.PROCESSLIST;

0x02 加固措施

1.应禁止用户Admin从所有地址在zabbix数据库中的zabbix.users表上执行插入操作

REVOKE INSERT ON zabbix.users FROM 'Admin'@'%';

FLUSH PRIVILEGES;

2.启用本地墙，入站白名单。