用宝塔的可以查一查日志，看看哪些IP扫过pma的链接

阔空晴云 · 发表于 2020-8-23 20:41:26

本帖最后由阔空晴云于 2020-8-23 21:10 编辑

/www/wwwlogs/access.log
搜索"服务器IP:888/”
比如
"8.8.8.8:888/"
每一行最开始显示了哪个IP访问的，
然后剃掉你自己的IP（记不住的话，查地理位置，如果是异地就说明不是你了）

感觉很早就有人在扫了
最近一次还是8月15日

minsc · 发表于 2020-8-23 20:42:20

了解，马上把日志功能关闭

h20 · 发表于 2020-8-23 21:14:00

minsc 发表于 2020-8-23 20:42

了解，马上把日志功能关闭
这次只是绕过了phpmyadmin的鉴权，他删不了日志
所以日志都还在，

阔空晴云 · 发表于 2020-8-23 20:42:00

没用面板，而且端口全开。

403_Forbidden · 发表于 2020-8-23 20:43:35

阔空晴云发表于 2020-8-23 20:43

这次只是绕过了phpmyadmin的鉴权，他删不了日志
所以日志都还在，
宝塔phpmyadmin不是随机目录吗，到底怎么进的啊我看网上说 /pma 这个地址是100%能进？？？

hising · 发表于 2020-8-23 20:42:00

hising 发表于 2020-8-23 20:46

宝塔phpmyadmin不是随机目录吗，到底怎么进的啊我看网上说 /pma 这个地址是100%能进？？？ ...

对的，我刚刚在两台小鸡上验证了，
漏洞来源是 7.4.2 新增的面板鉴权访问phpmyadmin，
你只要通过面板的鉴权访问过某个数据库，其他人，哪怕没有登录过面板和数据库的，就能直接通过一个固定地址访问了，而且不需要密码，
如果有多个数据库，别人访问的是你最后一次访问的数据库

阔空晴云 · 发表于 2020-8-23 20:45:53

阔空晴云发表于 2020-8-23 20:50

对的，我刚刚在两台小鸡上验证了，
漏洞来源是 7.4.2 新增的面板鉴权访问phpmyadmin，
你只要通过面板的 ...
https://www.52.ht/thread-734525-1-1.html

我在这个帖子里验证了，7.4.2 Apache没问题，nginx就能进，估计是nginx conf里直接 rewrite了 pma 到phpmyadmin目录了吧

hising · 发表于 2020-8-23 20:46:37

hising 发表于 2020-8-23 20:53

https://www.52.ht/thread-734525-1-1.html

我在这个帖子里验证了，7.4.2 Apache没问题，nginx就 ...
是的

阔空晴云 · 发表于 2020-8-23 20:43:00

看了下有孙子在扫

		自动登录	找回密码
密码			立即注册

用宝塔的可以查一查日志，看看哪些IP扫过pma的链接

本帖子中包含更多资源