Как защитить phpMyAdmin

Question

Как защитить phpMyAdmin

Я заметил, что существуют странные запросы к моему веб-сайту, пытающемуся найти phpmyadmin, как

/phpmyadmin/
/pma/

и т.д.

Теперь я установил PMA на Ubuntu через Кв. и хотел бы получить доступ к нему через webaddress, отличающийся от/phpmyadmin/. Что я могу сделать для изменения его?

Спасибо

Обновление

Для Ubuntu 9.10 и Apache2 соответствующая установка расположена в файле /etc/apache2/conf.d/phpmyadmin.conf который является ссылкой на /etc/phpmyadmin/apache.conf. Файл содержит

Alias /phpmyadmin /usr/share/phpmyadmin

где первое /phpmyadmin должен быть изменен на что-то другое, если Вы хотите избежать ненужного действия, например:

Alias /secret /usr/share/phpmyadmin

59

php mysql security ubuntu phpmyadmin

задан rook 8 December 2010 в 19:49

3 ответа

Скорее всего, где-то на вашем веб-сервере будет директива Alias, подобная этой:

Alias /phpmyadmin "c:/wamp/apps/phpmyadmin3.1.3.1/"

В моей настройке wampserver / localhost она находилась в c: /wamp/alias/phpmyadmin.conf.

Просто измените директиву псевдонима, и все будет в порядке.

4

ответ дан 24 November 2019 в 18:22

Самый простой подход - отредактировать веб-сервер, скорее всего, установку Apache2, конфигурацию и дать phpmyadmin другое имя.

Второй подход заключается в ограничении IP-адресов, с которых можно получить доступ к phpmyadmin (например, только локальный lan или localhost).

1

ответ дан 24 November 2019 в 18:22

Другие вопросы по тегам:

php mysql security ubuntu phpmyadmin

Похожие вопросы:

score 81 · Accepted Answer

Самая большая угроза заключается в том, что злоумышленник может воспользоваться уязвимостью, например; обход каталога или использование SQL-инъекции для вызова load_file () , чтобы прочитать имя пользователя / пароль в виде обычного текста в файле конфигурации, а затем войти в систему с помощью phpmyadmin или через TCP-порт 3306. В качестве пентестера я использовал этот шаблон атаки скомпрометировать систему.

Вот отличный способ заблокировать phpmyadmin:

ЗАПРЕЩАЕТСЯ УДАЛЕННЫЙ УДАЛЕННЫЙ УДАЛЕННЫЙ ВХОД! Вместо этого phpmyadmin можно настроить на использование «Cookie Auth» , чтобы ограничить доступ пользователей к системе. Если вам нужны привилегии root, создайте пользовательскую учетную запись, которая может добавлять / удалять / создавать, но не имеет grant или file_priv .
Удалите разрешения file_priv для каждой учетной записи. file_priv - одна из самых опасных привилегий в MySQL, поскольку она позволяет злоумышленнику читать файлы или загружать бэкдор.
Внесите в белый список IP-адреса, у которых есть доступ к интерфейсу phpmyadmin. Вот пример reulset .htaccess:

 Запретить заказ, разрешить 
Запретить со всех 
разрешить из 199.166.210.1

Не иметь предсказуемого расположения файла, например: http://127.0.0.1/phpmyadmin . Сканеры уязвимостей, такие как Nessus / Nikto / Acunetix / w3af, будут сканировать это.
Брандмауэр отключил TCP-порт 3306, чтобы злоумышленник не мог получить к нему доступ.
Используйте HTTPS, иначе данные и пароли могут быть переданы злоумышленнику . Если вы не хотите тратить 30 долларов на сертификат, используйте самоподписанный. Вы примете его один раз, и даже если он был изменен из-за MITM, вы получите уведомление.