MySQL客户端与服务端建立连接抓包分析

MySQL客户端与服务端建立连接流程抓包分析

抓包工具采用的是Wireshark，mysql客户端使用的是java操作jdbc连接mysql。

1.连接建立流程

1. 服务端向客户端发送挑战数据包
2. 客户端向服务端发送认证数据包
3. 如果认证失败，则需要切换认证插件（更换加密算法），服务端会返回切换认证插件的请求数据包，客户端会重新加密密码，发送切换认证插件的响应数据包
4. 服务端返回成功或失败数据包

2.各类数据包介绍

2.1挑战数据包

mysql采用的是挑战-响应方式来进行身份认证。由服务端生成加密用的盐给客户端，提高安全性

数据包携带的信息如下：

2.2认证数据包

接收到服务端的挑战数据包后，客户端需要发送认证信息给服务端用于校验

数据包携带的信息如下：

2.3切换认证插件请求数据包

如果挑战数据包返回的Authentication Plugin认证插件与你的用户密码加密方式不一致（比如你的用户采用的是mysql_native_password加密，而服务器返回的是caching_sha2_password），那么校验肯定失败，所以需要更换加密方式。服务器会发送一个切换认证插件请求数据包来指示客户端重新加密密码并发送。

数据包携带的信息如下：

2.4切换认证插件响应数据包

客户端采用新的加密算法后，将密码再发送给服务端

数据包携带的信息如下：

2.5成功数据包

数据包携带的信息如下：

2.6失败数据包

测试：使用错误的密码连接MySQL

数据包携带的信息如下：

3.注意点

1. 如果连接参数使用了SSL（useSSL=true），认证将会使用TLS/SSL对数据进行加密，客户端和服务端后续都会采用TSL数据包来进行数据发送

2. 如果挑战数据包返回的密码加密方法与用户的密码加密方法不匹配，那么认证不会直接成功，服务端会发送一个Auth Switch Request数据包（指定了应该使用哪种加密算法）来提醒用户更改加密算法，用户则发送一个Auth Switch Response数据包来发送重新加密后的密码。

   常用的加密方法有caching_sha2_password和mysql_native_password。通过修改mysql默认的认证插件可以指定挑战数据包返回的密码加密方式default_authentication_plugin=mysql_native_password
   

4.测试代码

public static void main(String[] args) throws SQLException {
    Connection c = DriverManager.getConnection("jdbc:mysql://192.168.86.111:3306/test?useSSL=false", "root", "123456");
    Statement s = c.createStatement();
    ResultSet rs = s.executeQuery("show variables like 'datadir'");
    if (rs.next())
        System.out.println(rs.getString(2));
}