文章前言

2020年8月23日的晚上
群里突然有个管理员艾特全体 说宝塔出漏洞了！
赶紧更新吧。

漏洞分析

接下来步入正题
其实这个目录在7.4.2之前的版本是没有的 在更新宝塔7.4.2之后才出现的
以下是PMA目录下的部分代码分析config.inc.php

宝塔的phpmyadmin目录config.inc.php

大家发现有什么不同了吗？
第一个是利用账号密码来登录 而且 这个目录我想应该是官方疏漏了
一旦在早期版本安装了phpmyadmin的时候 他更新到宝塔7.4.2之后 会自动生成一个PMA目录 里面就保存宝塔的数据库账号密码第二个是初始的宝塔数据库登录后台
利用cookie来实现登录 如果你登录了宝塔 直接在数据库里面进入 是不用输入账号密码的
如果是没登录宝塔 由于这数据库生成的目录是随机的 除非你扫目录 要不然 永远找不到那个目录！

修复方法

原文链接：https://www.toubiec.cn/256.html

结语：

微塔云:host.weiduan.net.cn

在看到官方群BUG第一时间更新，已处理这个问题，检查服务器日志，一切正常。