Bom, a minha pergunta, é a seguinte:
O phpMyAdmin tem alguma segurança contra bruteforce na password? Ou seja, ao final de x tentativas, o IP fica bloqueado ou alguma coisa parecida?
Obrigado.
Stack Overflow em Português é um site de perguntas e respostas para programadores profissionais e entusiastas. Leva apenas um minuto para se inscrever.
Inscreva-se para participar desta comunidadeBom, a minha pergunta, é a seguinte:
O phpMyAdmin tem alguma segurança contra bruteforce na password? Ou seja, ao final de x tentativas, o IP fica bloqueado ou alguma coisa parecida?
Obrigado.
Segundo a documentação do phpMyAdmin aqui, é recomendado a utilização de logs para o controle de tentativas de acesso já que não existe nada oficial para "contornar" um ataque de força bruta. Isso significa que é necessário utilizar o apache com configurações de manuseio de acesso.
Caso venha utilizar o phpmyadmin em endereço público recomendo nomenclaturas de diretórios "incomuns", evitando por exemplo: site/phpmyadmin
ou site/pma
o que já diminui um pouco a enumeração contra o sistema.
Amigo, eu não recomendaria deixar o PHPMyAdmin exposto na Web. É uma ferramenta com muitas vulnerabilidades e não só brute force, o que pode colocar em risco as suas aplicações. Eu procurei as vulnerabilidades que a ferramenta possuí no site CVE Details, e foram encontradas 223 vulnerabilidades disponíveis. Existem modos de liberar o PHPMyAdmin apenas para o seu IP, ou então deixá-lo no servidor em modo inativo, e você pode ligá-lo apenas quando for utilizá-lo. Espero ter ajudado!
Uma opção é utilizar o fail2ban
para bloquear determinados padrões de acesso.
Tendo o fail2ban instalado, a configuração é mais ou menos assim, pode variar dependendo do seu servidor:
/etc/apache2/conf.d/phpmyadmin.conf:
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{userID}n %{userStatus}n" pma_combined
CustomLog /var/log/apache2/phpmyadmin_access.log pma_combined
Filtro do fail2ban:
/etc/fail2ban/filter.d/phpmyadmin.conf
[Definition]
denied = mysql-denied|allow-denied|root-denied|empty-denied
failregex = ^<HOST> -.*(?:%(denied)s)$
ignoreregex =
Adicionar uma jail:
/etc/fail2ban/jail.local
[phpmyadmin]
enabled = true
port = http,https
filter = phpmyadmin
logpath = /var/log/apache2/phpmyadmin_access.log
E pro fim reiniciar o apache eo fail2ban:
service apache2 reload
service fail2ban reload