如何保护 phpMyAdmin

我注意到我的网站有一些奇怪的请求试图找到 phpmyadmin，例如

/phpmyadmin/
/pma/

etc.

现在我已经通过 apt 在 Ubuntu 上安装了 PMA，并且想通过不同于 /phpmyadmin/ 的网址访问它。我可以做什么来改变它？

Thanks

Update

对于Ubuntu 9.10和Apache2，相应的设置位于文件中/etc/apache2/conf.d/phpmyadmin.conf这是一个链接/etc/phpmyadmin/apache.conf。该文件包含

Alias /phpmyadmin /usr/share/phpmyadmin

第一个在哪里/phpmyadmin如果想避免不必要的活动，应该更改为不同的内容，例如：

Alias /secret /usr/share/phpmyadmin

最大的威胁是攻击者可以利用以下漏洞：目录遍历，或者使用SQL注入调用load_file()读取配置文件中的纯文本用户名/密码，然后使用 phpmyadmin 或通过 tcp 端口 3306 登录。作为渗透测试人员，我曾使用此攻击模式来破坏系统。

这是锁定 phpmyadmin 的好方法：

• PhpMyAdmin 缺乏强大的暴力保护，因此您必须使用随机生成的长密码。
• 不允许远程 root 登录！相反，phpmyadmin 可以配置为使用“Cookie 验证” http://wiki.phpmyadmin.net/pma/Auth_types#cookie限制哪些用户可以访问系统。如果您需要一些root权限，请创建一个可以添加/删除/创建但没有权限的自定义帐户grant or file_priv.
• Remove file_priv每个帐户的权限。file_priv是 MySQL 中最危险的权限之一，因为它允许攻击者读取文件或上传后门。
• 将有权访问 phpmyadmin 界面的 IP 地址列入白名单。下面是一个 .htaccess reulset 示例：

Order deny,allow
Deny from all
allow from 199.166.210.1

• 没有可预测的文件位置，例如：http://127.0.0.1/phpmyadmin。 Nessus/Nikto/Acunetix/w3af 等漏洞扫描器将对此进行扫描。

• 防火墙关闭了 tcp 端口 3306，以便攻击者无法访问该端口。

• 使用 HTTPS，否则数据和密码可能会泄露给其他人 攻击者。如果您不想花 30 美元购买证书，那么 使用自签名。你会接受一次，即使它是 由于 MITM 而发生更改，您会收到通知。