php - 如何保护 phpMyAdmin

Question

我注意到我的网站有一些奇怪的请求试图找到 phpmyadmin，比如

/phpmyadmin/
/pma/

等等

现在我已经通过 apt 在 Ubuntu 上安装了 PMA，并希望通过不同于/phpmyadmin/的网址访问它。我可以做些什么来改变它？

谢谢

---

更新

对于 Ubuntu 9.10 和 Apache2，相应的设置位于文件 /etc/apache2/conf.d/phpmyadmin.conf 中，该文件是 /etc/phpmyadmin/apache 的链接.conf。该文件包含

Alias /phpmyadmin /usr/share/phpmyadmin

如果想要避免不必要的事件，应该将第一个 /phpmyadmin 更改为不同的内容，例如:

Alias /secret /usr/share/phpmyadmin

Answer 1

最大的威胁是攻击者可以利用以下漏洞:目录遍历，或使用 SQL 注入(inject)调用 load_file() 以读取配置文件中的纯文本用户名/密码，然后使用 phpmyadmin 或通过 tcp 端口 3306 登录。作为渗透测试者，我使用过这种攻击破坏系统的模式。

这是锁定 phpmyadmin 的好方法:

• PhpMyAdmin 缺乏强大的暴力保护，因此您必须使用随机生成的长密码。
• 不允许远程 root 登录! 可以将 phpmyadmin 配置为使用 "Cookie Auth"限制哪些用户可以访问系统。如果您需要一些 root 权限，请创建一个可以添加/删除/创建但没有 grant 或 file_priv 的自定义帐户。
• 从每个帐户中删除 file_priv 权限。 file_priv 是 MySQL 中最危险的特权之一，因为它允许攻击者读取文件或上传后门。
• 将有权访问 phpmyadmin 界面的 IP 地址列入白名单。这是一个示例 .htaccess reulset:

Order deny,allow
Deny from all
allow from 199.166.210.1

• 没有可预测的文件位置，例如:http://127.0.0.1/phpmyadmin。 Nessus/Nikto/Acunetix/w3af 之类的漏洞扫描程序将对此进行扫描。

• 防火墙关闭 tcp 端口 3306，使其无法被攻击者访问。

• 使用 HTTPS，否则数据和密码可能会泄露给攻击者。如果您不想花 30 美元购买证书，那么使用自签名。你会接受它一次，即使它是因 MITM 而发生更改，您会收到通知。