"Komoly sebezhetőség a phpMyAdmin-ban"

Címkék

phpMyAdmin-t üzemeltetőknek érdemes figyelmet fordítani a stuffra, mert kiderült, hogy a népszerű MySQL matató eszköz összes verziója olyan sebezhetőségben szenved, amelyet rosszindulatú támadónak kódfuttatására adhat lehetőséget. A phpMyAdmin fejlesztők a hibát súlyosnak ítélik és javasolják a mielőbbi frissítést a nemrég kiadott 2.11.9.1-es vagy 3.0.0-rc2-es verziók valamelyikére. A részletek itt.

Hozzászólások

Bár nem használok phpadmint, azért próbálkoztak.

85.17.222.142 - - [16/Sep/2008:11:43:32 +0200] "GET /phpmyadmin/main.php HTTP/1.0" 404 313 "-" "-"
85.17.222.142 - - [16/Sep/2008:11:43:32 +0200] "GET /phpMyAdmin/main.php HTTP/1.0" 404 313 "-" "-"
85.17.222.142 - - [16/Sep/2008:11:43:33 +0200] "GET /db/main.php HTTP/1.0" 404 305 "-" "-"
85.17.222.142 - - [16/Sep/2008:11:43:33 +0200] "GET /web/main.php HTTP/1.0" 404 306 "-" "-"
85.17.222.142 - - [16/Sep/2008:11:43:33 +0200] "GET /PMA/main.php HTTP/1.0" 404 306 "-" "-"
85.17.222.142 - - [16/Sep/2008:11:43:33 +0200] "GET /dbadmin/main.php HTTP/1.0" 404 310 "-" "-"
85.17.222.142 - - [16/Sep/2008:11:43:33 +0200] "GET /PMA2006/main.php HTTP/1.0" 404 310 "-" "-"

[...]

ajanlani tudom a "test" nevu accot ;)

synapse

--------------------------
The OOM killer is like a surgeon that amputates the limb of a man to save his life: losing a limb is not a nice thing, but sometimes there is nothing better to do.

"Understanding the Linux Kernel" on page frame reclaiming

hasznal valaki eles szerveren phpmyadmint?

igen, de ha van jobb ötleted, jöhet. egyszerűen olyan url-re kell tenni, ami nem egyértelmű. bár ahogy kiderül egy sebezhetőség x programban, mindig megkérdezi valaki, hogy éles környezetben használ-e valaki x programot. egy ideig mondjuk szórakoztató, aztán már az ismétlődés unalmassá teszi.

Kicsit off kerdes: szerveren berakom virtualhostba olyan domainnev ala, ami nincs regisztralva. A kulso gepen meg a domainnevet felveszem hosts-ba. Idegen ember meg tudna igy talalni, foleg, ha ssh-n ernem el?

Azert az ssl-es sztori sem csak ennyi. Mert altalaban egy IP-cimre egy ssl site-ot tesznek. Ha pedig amugy nem hasznalsz mas celra ssl-t, akkor xy beirja, hogy https://sitenev/, es voila! egybol bejon a titkos nevu site, es mehet a brute force. Szoval meg egy captcha-t is jo a login melle tenni.

SPAMtelenul - POP3 spamszuro szolgaltatas

Egy ip-re egy ssl lehet beloni normal esetben, de attol meg a szerver masik hostot is kiszolgalja azzal a cert-tel, csak a kliens sirni fog, hogy nem igazan osszetartozo a ketto. A siteven meg mar kodolva megy at, innentol eleg nehez a semmibol egy idegennek eltalalni a cimet, foleg, hogy meg be is kell irja a sajat hosts-jaba blabla...
Nem jol gondolom?

Iszonyat draga, ez az egyetlen gond vele :).
Amugy meg olyan oldalra, ahol az olyan dolgok vannak amik elmeletileg csak szamodra vannak az uzemeltetes megkonnyiteshez, mi a lopikulanak alairt ssl tanusitvany?
Ja igen en is hasznalok phpmyadmin-t, igazabol szuksegesnek erzem, mert olyan dolgot ami cli-bol 5 perc lenne megcsinalni ezalatt olyan jo fel perc (es ez nem mind1, mikor egy ugyfel sir).

VPN-ben. Az eleg megbizhato, nem? (csak kerdezem, tenyleg nem tudom)