Phpmyadmin nasıl güvenli hale getirilir?

Apache günlüklerimi kontrol ettim ve whooooaaa, ​​phpmyadmin'den yararlanmaya çalışan bir sürü bot var. Yaptığım ilk şey, dizin adını daha belirsiz bir şeye değiştirmekti.

Ancak, phpmyadmin güvenliğini sağlamak için başka ipuçları var mı?

(Veritabanının kendisi yalnızca yerel ağdan kullanılabilir)

Şeylerin bir kombinasyonunu yapıyoruz:

• PhpMyAdmin'i bir HTTP kullanıcı adı / şifre girişi isteyen .htaccess veya Apache yapılandırması ile koruyun.
• PhpMyAdmin'i yalnızca belirli güvenilir IP adreslerinden erişime izin vermek için .htaccess veya Apache yapılandırması yoluyla koruyun
• PhpMyAdmin'i kendi VirtualHost'a koyun ve standart olmayan bir bağlantı noktasında çalıştırın
• Normal HTTP'ye değil, yalnızca phpMyAdmin'e HTTPS bağlantılarına izin verin
• Yalnızca LAN üzerinden bağlantılara izin verin (güvenlik duvarınızdan geçmek için bir VPN kullanın ve yalnızca o LAN / VPN üzerindeyseniz bağlantılara izin verin)
• Dizini / phpMyAdmin /

SSH anahtarlarını kullanmak için SSH bağlantı noktası iletmeyi de kullanabilirsiniz. Bkz. Https://stackoverflow.com/a/3687969/193494

Phpmyadmin klasörüne yalnızca yerel IP erişimine izin veren bir .htaccess ekleyin.

Phpmyadmin'i yalnızca localhost'tan erişilebilen ve kullanıcıların erişim sağlamak için ssh ve port yönlendirme kullanmasını gerektiren bir hayalette kullanılabilir hale getirin.

.Htaccess kullanın

Sadece kullanıcı adı / parola korumalı ve (koşullara bağlı olarak) IP adresi içeren bir .htaccess dosyası atarız.

Bu, ABD'nin kaynağa güvenilir bilgisayarlardan hızlı ve kolay bir şekilde ulaşmasını sağlar, ancak bilgisayar korsanlarını dışarıda tutar.

Bir not daha ... PHPMyAdmin için yaptığınız gibi .htaccess'iniz için SAME kullanıcı adını / şifresini kullanmayın ... aptalca olur. :-)

Bu yardımcı olur umarım.

Ben htaccess (/ w şifre) ve https kabul ediyorum.

Ayrıca bu sunucuya ikinci bir IP eklemeyi ve phpmyadmin için IP tabanlı bir Apache sanal ana bilgisayarı oluşturmayı düşünebilirsiniz. Bu sadece bir yerel ağ IP'si olabilir, bu nedenle güvenlik duvarı tarafından korunur (ve bunun için bir nat kuralınız bile olmayabilir).

Daha fazla katman (yani htaccess + https + Virtualhost), daha iyi düşünüyorum. İdeal olarak, botlar ilk etapta ona ulaşamamalıdır.

Elbette phpmyadmin'i her zaman farklı bir kutuya da koyabilirsiniz.

Verilen cevaplara ek olarak, web günlüklerimizi izlemek ve bu taramaları uyarmak / engellemek için açık kaynaklı OSSEC'yi de kullanıyoruz.

Kurulumu çok basittir ve varsayılan olarak web günlüklerinizi bulur ve izlemeye başlar.

Bağlantı: http://www.ossec.net

Phpmyadmin, bir parolanın beklenmesini engellediği şekilde gizlenmiş bir dizine taşıyın: karışık harflerin yanı sıra sayıların (örneğin PhP01mY2011AdMin) birleşimi ve dizini .htpasswd ile koruyan benzer şekilde "güvenli" parola iş görmek.

Daha sonra, mysql veritabanlarınızın güvenliği işiniz için hayati önem taşıyorsa, biri "phpmyadmin gibi bir yönetici aracını ilk etapta internete erişilebilir kılıyor?" Ama hey, herkesin yaşama nedenleri var.

• HTTPS
• Yalnızca VPN / SSH tüneli üzerinden erişilebilir olmasını sağlayın

phpmyadmin güvenli olamayacak kadar büyük bir canavar. Phpmyadmin işlevini sağlamak için kuralların yarısını devre dışı bırakmak için mod_security ve uyarıların hatalarını ayıklamak için bir hafta süre gerekir. Sonuç: Herkese açık hale getirmeyin.