phpMyAdmin CSRF 0day,影响所有版本。

一个安全研究者近日公布了一个phpMyAdmin 0day 的poc，而phpMyAdmin 就是众所周知的类Mysql数据库管理工具。作为一个数据库管理工具，它广泛地用于 WordPress, Joomla等一众的内容网站当中。

这个漏洞不能脱裤删表，但是利用起来倒是十分的简单。

phpMyAdmin

安全研究者兼渗透工程师Manuel Garcia Cardenas 发掘了这个漏洞，宣称这是一个CSRF(跨站点请求伪造)漏洞，也被称作XSRF，一个著名的网页工具类型，通过欺骗用户访问，让其以用户的名义运行授权的操作。

百度百科 CSRF概念

POC（概念证明）

POC。删掉主服务器：

Deleting Server 1

style="display:none;" />

这个漏洞影响phpMyAdmin的版本最高到4.9.0.1 ， 这是phpMyAdmin目前最新的发行版本。

这个安全漏洞也存在于phpMyAdmin 5.0.0-alpha1 版本中，这是今年7月发行的版本。

漏洞细节

需要注意的是，这不是什么很吓人的东西，因为利用这个漏洞攻击者不能删除任何存在你服务器里的数据库或者表。

这个漏洞CVE号为 CVE-2019-12922，被定性为中度危险，因为这个漏洞危及的范围比较小，仅允许攻击者删除目标服务器里的，phpMyAdmin控制面板中关于setup页面中的服务器配置。

攻击者所需要做的仅仅是发送一个精心设计的URL给网页的管理员，这个管理员需要在他的浏览器登录到phpMyAdmin控制面板，然后在同一个浏览器点击这个URL，就会不知不觉地删除了配置里的服务器。

该研究者说：

“

攻击者可以轻易地创建一个伪造的超级链接，在这个超级链接中包含一个请求，这个请求是以合法用户的身份执行，通过这种方式，滥用HTTP方法使得CSRF攻击成为可能

”

然鹅，这个漏洞很容易利用，因为除了需要知道目标服务器的URL之外，攻击者根本不需要知道任何其他信息，数据库名都不需要知道。

最后

在这个漏洞出补丁之前，网站管理员和主机提供商墙裂建议别点那些可疑的链接。

漏洞原文：https://seclists.org/fulldisclosure/2019/Sep/23

参考：thehackernews.com

---