据了解，此次更新是为了修复phpmyadmin未鉴权，可通过特定地址直接登陆数据库的严重bug。存在安全漏洞的面板据悉为linux面板7.4.2版本，windows面板6.8版本。（就是宝塔的程序员缓存了phpmyadmin的密码 /pma 未授权访问，前提是你在此之前需要从宝塔面板自动登录过phpmyadmin！！！）
攻击者可以在几秒钟之内入侵服务器，并快速的删除整个服务器数据库，通过SQL提权的方式，拿到服务器所有权。攻击者通过扫描工具，批量扫描获取权限，所以千万要重视。
目前宝塔官方已经出了最新的补丁， 大家升级到最新版本即可。
1、修复方案1）漏洞形式
请首先看看：IP:888/pma 可否进入数据库管理
2）修复 请立刻升级到宝塔最新版关闭888端口
注意：如果打了补丁之后，还是不放心，可以删除phpmyadmin!!!，关闭888端口。
2、如何知道自己是否被扫？
进入宝塔网站日志：
/www/wwwlogs/access.log
搜索”服务器IP:888/”
比如：
“8.8.8.8:888/”
每一行最开始 显示了哪个IP访问的，
然后剃掉你自己的IP（记不住的话，查地理位置，如果是异地就说明不是你了）
感觉很早就有人在扫了，所以这个问题不要不在意，赶紧升级最新版本，或者先删除phpmydadmin
3、漏洞情况
本次漏洞可以通过批量扫888端口（宝塔默认端口），然后通过PMA的默认URL，Post SQL命令即可完成执行。即： 无鉴权通过特定地址直接进PMA管理数据库。
4、宝塔给出的升级方案。
以下内容转载宝塔：https://www.bt.cn/bbs/thread-54666-1-1.html
此次更新为紧急安全更新，请Liunx版本7.4.2版本和windows版6.8版本的用户务必更新到最新版（其他版本不受影响），更新方法登录面板，首页右上角点击更新即可，如若更新失败，请尝试修复面板或者联系客服大炮QQ2839983100，河妖QQ272656462反馈。
1）Linux版本7.4.2版本和测试版本7.5.14的用户更新到以下版本
宝塔linux 测试版本7.5.15 （安全版本）
宝塔linux 正式版 7.4.3 （安全版本）
此次更新为紧急安全更新，请7.4.2的用户务必更新到最新版
2）更新方法：
登录面板后台，右上角点击更新，弹窗后，点击立即更新
3）或者使用升级脚本（注意：优先在面板首页直接点更新，失败的情况下，才使用此命令，且不能在面板自带的SSH终端执行）：代码语言：javascript代码运行次数：0运行复制
curl https://download.bt.cn/install/update_panel.sh|bash4）离线升级步骤代码语言：javascript代码运行次数：0运行复制
1、下载离线升级包：http://download.bt.cn/install/update/LinuxPanel-7.4.3.zip2、将升级包上传到服务器中的/root目录3、解压文件：unzip LinuxPanel-7.4.3.zip4、切换到升级包目录：cd panel5、执行升级脚本：bash update.sh6、删除升级包：cd .. && rm -f LinuxPanel-7.4.3.zip && rm -rf panel5）Windows版本6.8版本的用户更新到以下版本
Windows 正式版6.9.0 （安全版本）
此次更新为紧急安全更新，请6.8版本的用户务必更新到最新版。
5、最后
值得注意的是，这个超高危漏洞，也就是7.4.2版本更新时间已经将近一个月。
所以，可以肯定的是，目前只是爆发出来，截至爆发时间前的一个月，很多网站可能已经被入侵并通过SQL完成了提权。
以上就是宝塔面板7.4.2及Windows面板6.8数据库鉴权漏洞 – 官方发布紧急安全更新的详细内容，更多请关注php中文网其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/89184.html
微信扫一扫 
支付宝扫一扫 
