周日晚，某群里突然发布了一则消息，宝塔面板的phpmyadmin存在未授权访问漏洞的紧急漏洞预警，并给出了一大批存在漏洞的url：
随便点开其中一个，赫然就是一个大大的phpmyadmin后台管理页面，无需任何认证与登录。当然，随后各种神图神事也都刷爆了社交网络，作为一个冷静安全研究者，我对此当然是一笑置之，但是这个漏洞的原因我还是颇感兴趣的，所以本文我们就来考证一下整件事情的缘由。
一、我们的问题究竟是什么？
首先，我先给出一个结论：这件事情绝对不是简简单单地有一个pma目录忘记删除了，或者宝塔面板疏忽大意进行了错误地配置，更不是像某些人阴谋论中说到的官方刻意留的后门。
我为什么这么说？首先，根据官方的说法，这个漏洞只影响如下版本：
-
Linux正式版7.4.2
-
Linux测试版7.5.13
-
Windows正式版6.8
这个版本就是最新版（漏洞修复版）的前一个版本。也就是说，这个确定的小版本之前的版本面板是不受影响的。我们试想一下，如果是“后门”或者官方忘记删除的目录，为什么只影响这一个版本呢？况且宝塔面板发展了这么久，积累了400万用户，体系安全性也相对比较成熟，如果存在这么低劣的错误或“后门”，也应该早就被发现了。
经过实际查看互联网上的案例和询问使用了宝塔面板的朋友，我发现在7.4.2以前的版本中没有pma这个目录，并且phpmyadmin默认情况下认证方法是需要输入账号密码的。所以，宝塔出现这个漏洞，一定是做过了下面这两件事：
-
新增了一个pma目录，内容phpmyadmin
-
phpmyadmin的配置文件被修改了认证方式
那么，我们的问题就变成了，官方为什么要做这两处修改，目的究竟是什么？
为了研究这个问题，我们需要先安装一个宝塔7.4.2版本。但是，宝塔的安装是一个傻瓜化的一键化脚本：
yum install -y wget && wget -O install.sh /file/tupian/20240425/install_6.0.sh && sh install.sh
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
