Você instalaria o phpmyadmin em um servidor web de produção?

Question

Eu tenho brincado com o phpMyAdmin e acho que é uma boa ferramenta, mas eu li muito na internet sobre falhas de segurança. Você recomendaria instalar / usar o phpMyAdmin em um servidor de produção?

Eu acho que, se eu permitir acesso apenas via localhost, alterá-lo para uma porta não padrão ajudaria. Mas isso é suficiente?

    

Answer 1

Would you recomend installing/using phpMyAdmin on a prduction webserver?

Não, simplesmente.

O phpMyAdmin tem um infame histórico de segurança, conforme detalhado em SecurityFocus .

Você não diz qual plataforma está usando, mas supondo que tenha acesso remoto, sugiro:

• Quando você precisar executar tarefas básicas, como verificar o status ou executar um dump.

  Aprenda como usar um punhado de utilitários SQL básicos e de linha de comando da memória. Você verá que muitas vezes pode ser mais rápido do que usar o phpMyAdmin para obter o mesmo resultado e eles serão positivamente inestimáveis em uma situação de emergência.

• Quando você precisa executar tarefas que são inconvenientes ou impossíveis sem uma GUI.

  Use um cliente local com acesso encapsulado (como SSH) ao servidor MySQL no host local. Desta forma, você tem todo o poder de um bom cliente, transporte seguro e acesso restrito. Alguns bons clientes são Navicat, HeidiSQL e SQLyog. Alguns desses clientes até mesmo configuram os túneis automaticamente para você.

Answer 2

Instalamos na máquina de produção e a expomos diretamente à internet. Somos um webhost, por isso temos pouca escolha no assunto.

O principal é manter-se atualizado sobre as novas versões e seguir a lista de discussão de segurança. Também podemos atualizar nossas instalações do phpMyAdmin em um clique com nossos scripts de atualização.

    

Answer 3

Pelo menos, mude a pasta padrão ... Meus logs são preenchidos com centenas de tentativas de encontrar uma variante da pasta 'phpmyadmin'. Eu prefiro usar algo aleatório, pelo menos manterá os robôs longe.

Além disso, restrinja o acesso a IPs confiáveis, ou use um diretório protegido por senha, e certifique-se de não ter usuários facilmente hackeados no Mysql (ou de criar usuários muito restritos e especializados para o phpmyadmin usar).

    

Answer 4

PhpMyAdmin é um vetor de ataque MAJOR usado por hackers. Eu tenho precauções especiais nos meus servidores web configurados especificamente para isso. Tenho certeza de que todos os logs de ataque de servidores da Web exibirão os exploits do PhpMyAdmin como a maioria dos ataques já testados. Pelo menos o meu faz.

Agora, isso não significa que você não pode usá-lo de todo (tho eu wouldnt, soluções ssh tunelled são muito superiores). Apenas não confie apenas em sua segurança:

• Não o instale no caminho padrão.
• Use a configuração do apache para limitar o acesso a endereços IP que você conhece como seus.
• Use mod_security.

No entanto, se eu fosse você, usaria a versão mais recente do MySQL Workbench, com sua conectividade de sintonia ssh integrada. Mesmo assim, limite o acesso à porta 22 para endereços que você sabe que são seus.

    

Answer 5

Alterar a porta em que ela é executada é, na melhor das hipóteses, "segurança através da obscuridade", não confie em nenhum ganho de segurança; Você pode acenar com alguns script-kiddies, mas você também estará se preparando para gerenciar uma configuração não padrão.

Eu diria - não o tenha disponível em um servidor de produção se você puder sair ileso - ou seja, se a empresa não o solicitar explicitamente. Uma maneira pela qual você pode pelo menos melhorar a segurança é tê-la "desligada" o tempo todo, a menos que um administrador a ligue e, mesmo assim, seja por política ou por tempo limite inativo, ela deve voltar a desligar.

Isso é análogo a dizer: "Eu quero uma porta da frente, mas vou mantê-la trancada o tempo todo, a menos que eu precise usá-la, quando eu a abro temporariamente".

Por fim, lembre-se de que dar aos usuários / equipe a conveniência é sempre fácil, tirá-los é muito mais difícil, então, novamente, não os adicione a menos que você realmente precise.

    

Answer 6

Eu tenho instalado no meu servidor. Eu tenho permissões no diretório d--------- a menos que eu precise acessá-lo, então eu:

• ssh para o servidor
• alterar permanentes
• definir um trabalho at para alterá-los
• e use um arquivo .htaccess para login baseado em apache.

Eu também me certifico de mantê-lo atualizado.