各位大佬，请教一个 mysql 的问题

谢谢各位给的思路，好像查到了是谁引起的了。

先使用 watch -n 1 netstat -ant 动态观察所有连接，然后一个一个停，观察 mysql 日志的报错信息。

最后停到就剩一些基本的 zabbix_agent 监控有很多进程，关掉之后果然日志不报错了。

查看了 zabbix 的配置，发现有人配了监控 mysql 状态的指令，这样使得服务端 zabbix 每几分钟都要尝试登录 mysql 。

把配置还原之后就没问题了。确实跟 navigate 那种原理差不多，有程序被远程调用了。因为和正常的 zabbix_agent 进程混在一起，不好找出来。果然最后还得排除大法。

最后感谢各位的解答。

MySQL

请问

大佬

17 条回复 • 2020-05-19 16:46:35 +08:00

GTim

2020-05-18 13:54:19 +08:00

还有一种 navicat 等工具用 ssh 方式登录主机然后再连接 mysql 的

msg7086

2020-05-18 15:19:17 +08:00 via Android

有尝试行为的时候用 netstat 看看有没有可疑连接。

fensou

2020-05-18 16:18:38 +08:00 via iPhone

webshell，和 ssh 跳转两种可能

star7th

2020-05-18 16:24:04 +08:00

可以尝试这么一个思路。停止 mysqk，用一个代理软件代理 mysql 的端口。看看访问日志能不做找出线索。

julyclyde

2020-05-18 16:39:10 +08:00

@msg7086 这种用 netstat 看不了吧

@star7th mysql 按你建议的这种代理会导致权限错误的，登录不进来

star7th

2020-05-18 16:41:57 +08:00

@julyclyde 那就这样。mysql 的端口改为 3309，原来的 3306 被代理程序监听并转发到 3307

star7th

2020-05-18 16:42:25 +08:00

写错，是，原来的 3306 被代理程序监听并转发到 3309

julyclyde

2020-05-18 16:50:15 +08:00

@star7th
首先，原 po 提问的问题是遇到了 localhost 过来的错误登录。mysql 里 localhost 和 127.0.0.1 可不是同一个概念
其次，用代理监听再转发会导致“源 IP”变化，mysql 语境下这种变化会导致登录的其实是另一个用户

jimrok

2020-05-18 16:55:56 +08:00

了解一下 lsof 命令，可以找到跟 3306 端口连接的进程名字和 pid

yc8332

2020-05-18 17:09:00 +08:00

netstat 查一下连接 3306 的 ip 地址和进程

msg7086

2020-05-18 22:23:43 +08:00 via Android

@julyclyde MySQL 只有在连接的时候 localhost 才不是一个概念。服务器端走 TCP 127.0.0.1 连接的时候还是会解析到 localhost 主机用户条目的。

另外我说用 netstat 主要是要看有没有人远程连上本地服务以后跳板尝试密码，不是为了看程序间的连接。

julyclyde

2020-05-19 10:45:14 +08:00

@msg7086 你把 unix domain socket 关闭试试，看 localhost 的用户名还能不能连上

msg7086

2020-05-19 14:10:31 +08:00

@julyclyde 当然连不上了。
我说的是「只有在连接的时候，localhost 才不是一个概念」。
然后你跟我说能不能连上。
我寻思着这不是重复一遍我的观点嘛。

localhost 的特殊处理是来自 libmysqlclient，又不是来自 MySQL Server 。
你客户端连不连得上，管服务器上的账号验证何事。

你自己开个测试机，自己运行一下 mysql -h 127.0.0.1，看看 Access denied 后面写的到底是 [email protected] 还是 root@localhost 。

julyclyde

2020-05-19 14:29:23 +08:00

@msg7086 access denied 是服务器返回的信息，你说的这个场景下当然是 127 了

msg7086

2020-05-19 14:35:14 +08:00

@julyclyde
# mysql -h 127.0.0.1
ERROR 1698 (28000): Access denied for user 'root'@'localhost'

julyclyde

2020-05-19 16:46:07 +08:00

我的实验场景虽然得到和你一样的结果，但是有证据说明身份是由服务器端认定的，而不是客户端自称的：

mysqld 开启 skip_ssl 参数，避免加密
strace mysql -h 127.0.0.1 在前面加 strace 观察通信，可以看到下列内容：
connect 建立连接
recfrom 收到服务器的 banner 信息
sendto 只发送了用户名，并没有带有 @127.0.0.1 或者 @localhost 的后缀
然后 recvfrom 收到服务器返回的错误信息 Access denied for user 'root'@'localhost'

julyclyde

2020-05-19 16:46:35 +08:00

不过我之前说的“你说的这个场景下当然是 127 了”确实是错了。我再研究一下原因