GreenSQL：為 MySQL 建立 SQL 注入防火牆的部署與配置指南

什麼是 GreenSQL

GreenSQL 是一個 **MySQL 代理防火牆**，攔截應用發送的 SQL，分析檢查後決定放行或阻擋，保護資料庫免受 SQL 注入攻擊。適用於既有應用難以修復注入漏洞的場景。

工作原理

1. 應用連線 GreenSQL (預設 3305 埠)
2. GreenSQL 解析 SQL，檢查異常模式（聯集注入、永真條件、註釋截斷等）
3. 合法 → 轉發給後端 MySQL (3306) → 結果回傳
4. 非法 → 記錄日誌、阻擋、可選回傳空結果/錯誤

安裝部署 (Linux)

二進制套件

官網 下載頁 提供常見發行版套件。

原始碼編譯

# 核心防火牆
tar xvzf greensql-fw-0.9.4.tar.bz2
cd greensql-fw-0.9.4
./build.sh
greensql-create-db.sh  # 建立 GreenSQL 所需資料庫（需 MySQL 運行且未 skip-networking）

# 啟動代理
greensql-fw -p /etc/greensql &  # 監聽 3305 埠

# 測試連線
mysql -u root -h 127.0.0.1 -P 3305 -p

管理介面

# 解壓 greensql-console 到網站目錄
# 修改 config.php 設定 GreenSQL DB 連線資訊
# 瀏覽器存取：查看被阻擋查詢、調整規則集、白名單管理

關鍵配置說明

• 應用端資料庫連線需改為 127.0.0.1:3305（不能用 localhost/unix socket）
• GreenSQL 需連接真實 MySQL (3306)，確保網路通暢
• 規則集預設較嚴格，上線前需在測試環境調優白名單

系統整合

• 啟動腳本：rpm/greensql-fw.redhat.init 或加入 /etc/rc.local
• 日誌輪轉：配置 logrotate 處理 GreenSQL 審計日誌
• 監控：檢查代理進程存活、連線數、阻擋率

局限性

• 增加網路跳躍延遲（通常 < 1ms）
• 無法防禦應用層邏輯漏洞（如 IDOR、權限繞過）
• 複雜動態 SQL 可能誤攔，需持續調優規則
• 不替代安全編碼實踐，僅為防禦纵深一層