[建議] PHP 漏洞與 phpBB

[carlos523]

千呼萬喚始出來，2.4.3版終於出來了，內建PHP 4.3.10
Zend Optimiser 2.5.7 之前雖然跌跌撞撞僥倖更新成功，

這版出來應該可以解決許多人的問題了!! 好加在!!!

[chang17]

千呼萬喚始出來，2.4.3版終於出來了，內建PHP 4.3.10
Zend Optimiser 2.5.7 之前雖然跌跌撞撞僥倖更新成功，

這版出來應該可以解決許多人的問題了!! 好加在!!!

安裝了這個版本後，我的mysql帳號遇到登入的問題？這是前一個版本2.4.0所沒有的。

我的資料
------------------------------------------------------------------------------------
●架設主機作業系統：Windows2000 professional 5.02195 sp4 組建2195

●快速架站程式：Appserv 2.4.3

●上網方式：Hinet ADSL 2M/512K

●錯誤狀態：

以'root/空白' 的預設帳號登入 phpmyadmin後，重新修改root的密碼，phpmyadmin回報已修改成功。但是再次以'root/新設密碼'登入，卻履次失敗。
還好本地的任意帳號還沒刪除，可以登入。

有人和我一樣嗎？

[chang17]

新手心得分享，有錯請盡情指教。
為了解決安全性問題，我將之前安裝的Apperv 2.4.0移除，重新安裝Appserv 2.4.3 ，官方下載點http://prdownloads.sourceforge.net/apps ... e?download

一．一些設定(自架主機)：

●架設主機作業系統：Windows2000 Pro 5.0.2195 sp4 組建2195

●快速架站程式：Appserv 2.4.3

●上網方式：ADSL Hinet 2m/512k 固定式ip(PPPoE連線)

●安裝的程式：
phpMyAdmin Database Manager Version 2.6.1-rc2
PHP Information Version 4.3.10
# Apache Web Server Version 1.3.33
# PHP Script Language Version 4.3.10
# MySQL Database Version 4.1.8
# Zend Optimizer Version 2.5.7
# phpMyAdmin Database Manager Version 2.6.1-rc2

●phpBB2 版本：phpBB 2.011

●軟體防火牆：Zone Alarm Version 5.5.062.11
(這防火牆雖然是個人免費使用，但可以擋住一般程度的掃瞄與攻擊，官方下載點為http://www.zonelabs.com/store/content/c ... ist_za.jsp
裝了以後可以從log檔看到攻擊者的source ip:port以及時間等紀錄資料，你會發現，世界上的無聊人真是太多了。在我這邊幾乎是一分鐘就會檔掉一個掃描/攻擊。

--
二．問題在這裡

繼參考了竹大寫的這篇〈phpMyAdmin登入教學〉http://phpbb-tw.net/phpbb/viewtopic.php?t=16221並依照指示設定
以及參考了這篇〈phpMyAdmin始終無法使用〉的討論http://phpbb-tw.net/phpbb/viewtopic.php ... ht=#175274並依照網友建議方式修改後，發現無法解決appserv 4.3.10的問題，也就是在「權限」內新開設的帳號/密碼均無法登入。而若未參照前面兩篇文章之建議修改，任何人可從遠端與本地用任意帳號/不需密碼登入。若像我一樣手賤把所有帳號砍了，可能會發生進不去phpmyadmin的慘事。

經過小弟反覆安裝試驗後得出一權宜的解決辦法。
--
三．半調子的解決辦法

1.首先，在安裝appserv 4.3.10時，在要求輸入User Name與Password的那個頁面，我們一定要記住輸入的這兩樣資訊，因為User Name/Password即為安裝完畢後，登入phpmyadmin的id/password。

假設User Name為 hohoho
Password 為 1234

2.安裝完畢後，開啟 http://localhost/phpmyadmin/，預設不必帳號/密碼登入，接著依照〈phpMyAdmin建立MySQL管理者〉http://www.phpbb-tw.net/phpbb/viewtopic.php?t=25581的這篇教學，新開設一個自用最高權限的新帳號，假設為heiheihei/5678然後刪除其它四個預設帳號。

3.開啟C:\AppServ\www\phpMyAdmin資料匣中的config.ini.php，依照前面提到竹大的教學文〈phpMyAdmin登入教學〉http://phpbb-tw.net/phpbb/viewtopic.php?t=16221修改。重點來了，竹大文中所謂的MySql管理帳號/管理密碼，要輸入步驟一中的User Name/Password

在本例子中，就是hohoho/1234，而不是heiheihei/5678

並找到 $cfg['PmaAbsoluteUri']=' ' ，在=後的括弧內鍵入伺服器位址

比如http://220.1xx.xx.xx/phpmyadmin/

其餘修改方式皆同，儲存後關閉config.inc.php

4.開啟php.ini，找到;extension=php_dbase.dll這一行，把開頭的;刪掉，儲存後關閉php.ini

5.這時，phpMyAdmin便只能用User Name/Password登入，而不能用其它方式登入了。但是，不管在「權限」內開了多少個最高權限的帳號，這些帳號仍然不能用。

--
四．還待解決

除了前面的步驟5的問題外，還有

6.最後，登入後頁面下方仍會出現紅色警告訊息如下。
The mbstring PHP extension was not found and you seem to be using multibyte charset. Without mbstring extension phpMyAdmin is unable to split strings correctly and it may result in unexpected results.

這個訊息照理講可以被步驟四解決，我是參照網路甘仔店〈登入phpMyAdmin後出現的紅色訊息〉討論串設定http://osc.kmd.com.tw/postt8057.html，但警告訊息依舊，尚不知如何解決。