Bài viết sưu tầm

Chúng ta đã có thể có được giao diện phpMyAdmin và chạy khá dễ dàng. Tuy nhiên, chúng ta vẫn chưa hoàn thành. Do tính phổ biến của nó, phpMyAdmin là một mục tiêu phổ biến cho kẻ tấn công. Chúng ta nên có thêm các bước để ngăn chặn truy cập trái phép.

Một trong những cách dễ nhất để làm điều này là đặt một gateway ở phía trước của toàn bộ ứng dụng. Chúng ta có thể thực hiện việc này bằng cách sử dụng các .htaccess chức năng xác thực và ủy quyền được xây dựng trong Apache.

2.1. Cấu hình Apache để Cho phép Ghi đè file .htaccess

Trước tiên, chúng ta cần phải cho phép sử dụng ghi đè file .htaccess bằng cách chỉnh sửa file cấu hình Apache.

       sudo nano /etc/apache2/conf-available/phpmyadmin.conf

Ta Cần thêm AllowOverride All trong <Directory /usr/share/phpmyadmin> trong file cấu hình, như sau:

Mở file /etc/apache2/conf-available/phpmyadmin.conf

<Directory /usr/share/phpmyadmin>

    Options FollowSymLinks

    DirectoryIndex index.php

    AllowOverride All

    . . .

Lưu và đóng file.

Để thực hiện những thay đổi mà bạn đã thực hiện, hãy khởi động lại Apache:

       sudo systemctl restart apache2

2.2. Tạo file  .htaccess

Bây giờ chúng ta đã cho phép .htaccess sử dụng cho ứng dụng, chúng ta cần phải thiết lập để thực hiện một số bảo mật.

       sudo nano /usr/share/phpmyadmin/.htaccess

Trong file này, chúng ta cần nhập các thông tin sau:

Mở file /usr/share/phpmyadmin/.htaccess

AuthType Basic

AuthName "Restricted Files"

AuthUserFile /etc/phpmyadmin/.htpasswd

Require valid-user

Ý nghĩa:

• AuthType Basic: Dòng này xác định loại chứng thực mà chúng ta đang triển khai. Loại này sẽ thực hiện xác thực mật khẩu bằng cách sử dụng file mật khẩu.
• AuthName: Thiết lập tin nhắn cho hộp thoại xác thực. Bạn nên giữ điều này để người dùng trái phép sẽ không nhận được bất kỳ thông tin nào về những gì đang được bảo vệ.
• AuthUserFile: Đặt vị trí của file mật khẩu sẽ được sử dụng để xác thực. Phải nằm bên ngoài của các thư mục đang được phục vụ.
• Require valid-user: Điều này chỉ định rằng chỉ những người dùng được chứng thực mới được cấp quyền truy cập vào tài nguyên này. Đây là những gì thực sự ngăn chặn người sử dụng trái phép xâm nhập.

Lưu và đóng file.

2.3. Tạo file .htpasswd cho việc Xác thực

Vị trí mà chúng ta đã chọn cho file mật khẩu là " /etc/phpmyadmin/.htpasswd". Bây giờ ta có thể tạo file này với tiện ích htpasswd:

       sudo htpasswd -c /etc/phpmyadmin/.htpasswd username

Bạn sẽ được nhắc chọn và xác nhận một mật khẩu cho người dùng đang tạo. Sau đó, file được tạo bằng mật khẩu mà bạn đã nhập đã được băm.

       sudo htpasswd /etc/phpmyadmin/.htpasswd additionaluser

Bây giờ, khi bạn truy cập vào thư mục con phpMyAdmin của mình, bạn sẽ được nhắc nhập tên tài khoản và mật khẩu bổ sung mà bạn vừa cấu hình:

https://domain_name_hoặc_IP/phpmyadmin

Sau khi nhập xác thực Apache, bạn sẽ được chuyển đến trang xác thực phpMyAdmin thông thường để nhập các thông tin khác của bạn. Điều này sẽ thêm một lớp bảo mật bổ sung vì phpMyAdmin đã bị lỗ hổng trong quá khứ.