2016年，据库一个叫“阿桑奇”的漏洞维基解密创始人，把美国中央情报局的据库网络武器库给捅了出来。里面有一批专门针对MySQL数据库的漏洞攻击工具，代号叫“Marble”。据库这件事当时在安全圈炸了锅，漏洞但真正让企业IT部门冷汗直流的据库，不是漏洞CIA有多厉害，而是据库他们用的漏洞，居然是漏洞MySQL官方早就修复过的老问题。

MySQL的据库漏洞，说白了就三类：权限绕过、漏洞SQL注入、据库缓冲区溢出。漏洞权限绕过最要命。据库比如CVE-2016-6662，攻击者只要能在MySQL配置文件里写入一个恶意库的路径，就能在服务重启时执行任意代码。这漏洞有多蠢？它居然允许用户通过`SELECT ... INTO OUTFILE`把内容写到系统目录里。官方在5.5.51、5.6.32、5.7.14版本修掉了，但很多公司用的还是5.1甚至5.0的版本——不是没钱升级，是业务跑了好几年，开发说“动不了数据库，怕出问题”。

SQL注入呢？老生常谈，但依然遍地都是。我见过一个电商后台，登录框直接把用户名拼进SQL语句，连参数化查询都没做。攻击者输入`admin' OR '1'='1`就能进系统。这漏洞不是MySQL的锅，但数据库默认配置宽松，比如`secure_file_priv`为空，攻击者一旦注入成功，就能用`LOAD_FILE()`读服务器上的敏感文件，甚至写webshell。

缓冲区溢出在MySQL里相对少见，但一旦触发就是致命打击。CVE-2021-2022，攻击者通过构造特殊的认证报文，能在未授权的情况下让mysqld进程崩溃，甚至可能执行代码。这个漏洞影响MySQL 8.0.22及更早版本，官方在8.0.23里修了。但很多云数据库实例，用户根本不知道自己的底层版本是多少，只看到控制台显示“MySQL 8.0”，实际上内核版本老得掉渣。

还有个容易被忽略的坑——默认安装的`root`账户。MySQL安装完，默认root密码为空，或者只允许localhost登录。但有些运维图省事，直接改成`root@'%'`，密码设成`123456`。这不算漏洞，但比漏洞更危险。2019年有个勒索团伙专门扫描3306端口，碰到弱密码就植入挖矿程序，还把数据库里的表删了，留下勒索信。那波攻击里，国内不少中小公司中招，数据丢失的损失比赎金还高。

我认识一个DBA，他负责的数据库跑着公司核心交易系统，版本是5.6.29。我问他不升级吗？他说：“升级要停服，业务部门不同意。只能靠防火墙和跳板机限制访问。”结果呢？有一次安全扫描发现，某个开发用的跳板机被入侵了，攻击者顺着跳板机摸到数据库，用`SELECT ... INTO OUTFILE`写了个udf文件，直接提权到系统root。后来排查发现，那个漏洞就是CVE-2016-6662的变种，官方修了，但他们没跟上。

所以你看，MySQL漏洞这事，三分靠官方补丁，七分靠日常管理。别指望一个防火墙或WAF就能挡住所有攻击——攻击者不需要多高深的技术，只需要找到一个没打补丁的角落，或者一个弱口令的账户。数据库是最后一道防线，但往往也是最脆弱的一道。

写代码的人常说“不要把用户输入拼进SQL”，但实际操作中，总有人为了赶进度走捷径。安全不是某个人的事，是每个写SQL、配权限、管服务器的人的事。今天偷的懒，明天可能变成数据泄露的新闻头条。