phpMyAdmin Security Issue

phpMyAdmin adalah aplikasi web-based untuk melakukan administrasi database MySQL yang sangat populer. Karena sangat populer, aplikasi ini banyak diincar oleh para hacker.

Bagi anda yang menginstall aplikasi ini harap berhati-hati (baik yang anda install di server, laptop, atau komputer pribadi), jangan sampai bisa diakses oleh orang yang tidak berhak.

Bila anda menginstallnya di komputer anda, coba tengok di error log web server anda.

[Mon] [error] File does not exist: /var/www/phpmanager
[Mon] [error] File does not exist: /var/www/php-myadmin
[Mon] [error] File does not exist: /var/www/phpmy-admin
[Mon] [error] File does not exist: /var/www/webadmin
[Tue] [error] File does not exist: /var/www/phpmyadmin
[Tue] [error] File does not exist: /var/www/phpMyAdmin
[Tue] [error] File does not exist: /var/www/phpMyAdmin-2
[Tue] [error] File does not exist: /var/www/php-my-admin
[Tue] [error] File does not exist: /var/www/phpMyAdmin-2.2.3
[Tue] [error] File does not exist: /var/www/phpMyAdmin-2.2.6
[Tue] [error] File does not exist: /var/www/phpMyAdmin-2.5.1
[Tue] [error] File does not exist: /var/www/phpMyAdmin-2.5.4
[Tue] [error] File does not exist: /var/www/phpMyAdmin-2.5.5-rc1
[Tue] [error] File does not exist: /var/www/phpMyAdmin-2.5.5-rc2

Kalau ada log seperti di atas, berarti seseorang telah melakukan scanning terhadap komputer anda.

Selama komputer anda menyala dan terkonneksi internet dengan IP Public (static/dynamic), baik di kantor, wifi, atau memakai internet 3G; komputer anda rentan sekali dengan scanning seperti ini.

Hati-hati bila anda menginstall phpMyAdmin, beberapa versi phpMyAdmin mengandung beberapa bug:

• Sesorang bisa menggunakan  fitur import file, untuk mengupload file-file selain sql. Penyerang bisa mengupload file .php yang bisa mengakses file-file anda; atau file .exe yang berisi trojan atau bot.
• setup.php lupa dihapus. Bug pada file setup.php bisa digunakan penyerang untuk mereset password mysql. File setup.php merupakan file instalasi awal dalam phpMyAdmin, selesai instalasi seharusnya file ini segera dihapus.
• Beberapa versi, rentan terhadap XSS injection; penyerang bisa mengeksploitasinya untuk mengakses file-file di server.
• Lebih lengkap bug-bugnya di sini!

Beberapa tip untuk mencegah phpMyAdmin diakses orang tidak berhak:

• Update script phpMyAdmin dengan versi terbaru
• Batasi akses phpMyAdmin dengan menaruhnya dibelakang firewall. Bila tidak ada firewall bisa membatasi akses hanya dari IP tertentu, misalnya dengan membuat .htaccess:

  <Directory /var/www/phpmyadmin>
  order deny,allow
  deny from all
  allow from localhost
  allow from 127.0.0.1
  allow from 10.10.10.10
  allow from 192.168.0.0/255.255.255.0
  </Directory>

   

• Bila terpaksa membuka akses phpMyAdmin, tambahlah password protect folder, dengan htpasswd dan htaccess misalnya:

  AuthUserFile .htpasswd
  AuthName "Restricted Area"
  AuthType Basic
  Require valid-user

  Untuk lebih jelasnya bisa melihat tutorial di sini.