仰望星辰_

发表文章数:63

星辰博客

欢迎各大咸鱼投稿/曝光.虽然木得钱财但内可加广告嘤

进入首页
首页 » 网上那点事 » phpmyadmin未鉴权、宝塔面板SQL漏洞,大量网站被恶意删除!

说在前面

 

phpmyadmin未鉴权、宝塔面板SQL漏洞,大量网站被恶意删除!
就在2020年8月23日 晚上 我发现了这个帖子

兴致勃勃的我 尝试了下..额额

赶紧更新吧。

这次宝塔sql漏洞危机,导致大量小站长,公司甚至政府数据库被恶意删除,也许在某系“好事者”来看这就是个小玩笑,就是随便玩玩而已,但是你已经触犯了法律,切勿以身试法。

 

某些逗逼在展示自己的智商了,,,,,,,

phpmyadmin未鉴权、宝塔面板SQL漏洞,大量网站被恶意删除!

年纪轻轻就想吃国家饭了、有前途 小伙子

 

文章正题

接下来步入正题
其实这个目录在7.4.2之前的版本是没有的 在更新宝塔7.4.2之后才出现的
以下是PMA目录下的部分代码分析config.inc.php

phpmyadmin未鉴权、宝塔面板SQL漏洞,大量网站被恶意删除!

宝塔的phpmyadmin目录config.inc.php

phpmyadmin未鉴权、宝塔面板SQL漏洞,大量网站被恶意删除!

大家发现有什么不同了吗?
第一个是利用账号密码来登录 而且 这个目录我想应该是官方疏漏了
一旦在早期版本安装了phpmyadmin的时候 他更新到宝塔7.4.2之后 会自动生成一个PMA目录 里面就保存宝塔的数据库账号密码第二个是初始的宝塔数据库登录后台
利用cookie来实现登录 如果你登录了宝塔 直接在数据库里面进入 是不用输入账号密码的
如果是没登录宝塔 由于这数据库生成的目录是随机的 除非你扫目录 要不然 永远找不到那个目录!

 

修复方法

1.更新宝塔到最新的7.4.3版本。
2.如果不想更新 请到/www/server/phpmyadmin目录下删掉pma目录
3.修改宝塔数据库管理端口
4.定期备份 毕竟数据第一 最好是本地一份 云端一份
5.不开放一些不重要的端口

 

文章部分转载:www.bilibili.com/read/cv7292627

赞(0) 生成海报

评论 抢沙发

评论前必须登录!

  注册



长按图片转发给朋友

星辰博客
记得注册的时候填写正确的邮箱 要不然收不到吃瓜水友的回复嘤
切换注册

登录

忘记密码 ?

您也可以使用第三方帐号快捷登录

Q Q 登 录
微 博 登 录
切换登录

注册