宝塔面板爆重大漏洞,数据库无鉴权直接访问删库

燃烧的冰2020-08-24  261

我记得前几天有人发邮件给我,说数据库被删除了,请自行检查问题吧。wellcms 目前相对已经是非常安全,但中招未必是 wellcms 程序本身。我的建议,请自行搭建环境,不要使用面板。你方便了,也方便了别人。至今一直都是 ssh 证书操作,密码访问都是关闭的。

 

2020年8月23日,宝塔面板被爆出严重的安全事件数据库未授权访问漏洞,公网无需鉴权直接 root 权限进入 phpmyadmin,IP或域名地址:888/pma 可以直接进入 phpMyAdmin,导致很多网站数据库被篡改或者直接清理了数据库,可谓损失惨重!

影响版本:

宝塔Linux版本 7.4.2版本

宝塔Linux测试版本 7.5.14版本

宝塔Windows版 6.8版本

 

7.4.2新加的安全模块导致的不鉴权直接进,像phpma这种东西,另外一款老牌知名的服务器管理软件小皮面板就考虑得非常周到,希望各大服务器集成环境软件公司对服务器安全这块时刻保持敬畏之心,从技术手段尽量杜绝再次发生

紧急升级解决:

此次漏洞是在/www/server/phpmyadmin目录下的PMA目录的config.inc.php文件,里面会保存设置好的数据库账号密码...
本次出问题的是以下采用WEB方式来访问数据库由于通过这个方式来访问的时候 未将phpmyadmin鉴权 所以才会出现这个严重的漏洞BUG

漏洞修复
1.更新宝塔到最新的7.4.3版本。
2.如果不想更新 请到/www/server/phpmyadmin目录下删掉pma目录
3.修改宝塔数据库管理端口
4.做好定时备份 毕竟数据第一 最好是本地一份 云端一份
5.不开放一些不重要的端口
转载请注明原文地址: http://www.wellcms.cn/read-135.html