Cách bảo mật phpMyAdmin

Mối đe dọa lớn nhất là kẻ tấn công có thể tận dụng một lỗ hổng như; truyền qua thư mục hoặc sử dụng SQL Injection để gọi load_file() để đọc tên người dùng / mật khẩu văn bản thuần túy trong tệp cấu hình và sau đó Đăng nhập bằng phpmyadmin hoặc qua cổng tcp 3306. Với tư cách là một người chơi năm tuổi, tôi đã sử dụng kiểu tấn công này để xâm phạm hệ thống.

Đây là một cách tuyệt vời để khóa phpmyadmin:

• PhpMyAdmin thiếu tính năng bảo vệ mạnh mẽ, vì vậy bạn phải sử dụng một mật khẩu dài được tạo ngẫu nhiên.
• KHÔNG CHO PHÉP ĐĂNG NHẬP ROOT TỪ XA! Thay vào đó, phpmyadmin có thể được định cấu hình để sử dụng "Cookie Auth" để giới hạn những gì người dùng có thể truy cập vào hệ thống. Nếu bạn cần một số đặc quyền root, hãy tạo một tài khoản tùy chỉnh có thể thêm / bớt / tạo nhưng không có grant hoặc file_priv .
• Xóa file_priv quyền từ mọi tài khoản. file_priv là một trong những đặc quyền nguy hiểm nhất trong MySQL vì nó cho phép kẻ tấn công đọc tệp hoặc tải lên một cửa sau.
• Đưa địa chỉ IP vào danh sách trắng những người có quyền truy cập vào giao diện phpmyadmin. Đây là một ví dụ về reulset .htaccess:

Order deny,allow
Deny from all
allow from 199.166.210.1

• Không có vị trí tệp có thể đoán trước như:http://127.0.0.1/phpmyadmin . Các máy quét lỗ hổng bảo mật như Nessus / Nikto / Acunetix / w3af sẽ quét lỗi này.

• Tường lửa tắt cổng tcp 3306 để kẻ tấn công không thể truy cập.

• Sử dụng HTTPS, nếu không, dữ liệu và mật khẩu có thể bị rò rỉ cho anattacker. Nếu bạn không muốn bỏ ra 30 đô la cho chứng chỉ, thì hãy sử dụng chứng chỉ tự ký. Bạn sẽ chấp nhận nó một lần và ngay cả khi nó được thay đổi do MITM, bạn sẽ được thông báo.