phpMyAdmin 路径暴露直接扩大攻击面，必须在Web服务器层拦截含..及各种编码的遍历请求，重命名和WAF不可靠，config.inc.php权限过高更需优先修复。
phpMyAdmin 路径是否被暴露在 Web 根目录下
直接决定攻击面大小。如果 /phpmyadmin/ 或 /pma/ 这类路径可被未授权访问，目录遍历就只是时间问题——攻击者根本不需要猜，../../../../etc/passwd 一发就能试出来。
检查方式很简单：用浏览器或 curl 访问常见路径，比如 http://yoursite.com/phpmyadmin/、http://yoursite.com/pma/、http://yoursite.com/phpMyAdmin/。只要返回 200 或 302（哪怕跳转到登录页），就说明路径已暴露。
- 别依赖“没放首页链接就安全”——搜索引擎缓存、历史提交记录、子域名泄露都可能把路径翻出来
- 别把 phpMyAdmin 放进
/var/www/html/下任何子目录再以为“改个名就没事”，Web 服务器默认会解析所有子路径 - 如果必须保留 Web 访问，至少重命名成无规律路径（如
/Xq9f2Lz/），并配合 IP 白名单，但重命名不是防御，只是增加探测成本
Apache/Nginx 中如何拦截 phpMyAdmin 的可疑 URI 参数
真正的防御发生在 Web 服务器层，靠应用层（比如 phpMyAdmin 自身）过滤是靠不住的——攻击者可以绕过前端逻辑，直打后端脚本。
核心思路：拒绝一切含 ..、%2e%2e、%u002e%u002e 等编码形式的路径遍历特征，且必须在请求到达 PHP 之前拦截。
- Apache：在虚拟主机或
.htaccess中加RewriteCond %{THE_REQUEST} \.\. [NC]+RewriteRule ^ - [F] - Nginx：在 server 块里加
location /phpmyadmin/ { if ($request_uri ~ "\.\.") { return 403; } }；注意if在 location 内可用，但在 server 级慎用 - 更稳妥的是用
location ~* /phpmyadmin/.*\.\. { return 403; }，匹配 URI 而非原始请求，覆盖 URL 编码变体 - 别只拦
..——%2e%2e（点的 URL 编码）、%u002e%u002e（Unicode 编码）同样要覆盖，Nginx 默认不解码 URI，所以正则得写全
phpMyAdmin 配置中 disable_functions 和 open_basedir 是否真能防住遍历
不能。这两个是 PHP 层面的限制，对 Web 服务器转发过来的恶意请求完全无效——只要请求没被拦在 Nginx/Apache 那层，PHP 进程一启动，open_basedir 才开始生效，而此时文件路径可能已经被拼接完成。
立即学习“PHP免费学习笔记（深入）”；
-
open_basedir只控制 PHP 脚本内fopen()、file_get_contents()等函数的读取范围，不阻止 Web 服务器把恶意路径传给 phpMyAdmin 的入口脚本 -
disable_functions关掉system()、shell_exec()是防命令执行，和目录遍历无关 - phpMyAdmin 1.5.x–5.2.x 存在多个硬编码路径拼接漏洞（如
libraries/classes/Util.php中的getScriptName()），即使开了open_basedir，也可能因逻辑缺陷导致绕过 - 真正有效的配置只有两个：
$cfg['AllowArbitraryServer'] = false;（禁用任意服务端参数）和$cfg['LoginCookieValidity']设短一点，减少会话滥用窗口
为什么 WAF 规则常对 phpMyAdmin 遍历失效
因为多数 WAF（包括云厂商默认策略）只匹配明显路径特征，比如 ../../etc/passwd，但攻击者早就不这么写了。
- 用双重编码绕过：原始是
../，先 URL 编码成%2e%2e%2f，再对 % 编码成%252e%252e%252f，很多 WAF 解码只做一层 - 混用大小写和 Unicode：
%c0%ae%c0%ae/（UTF-8 overlong encoding 表示..），Apache 旧版本会解码，WAF 却可能忽略 - 利用 phpMyAdmin 自身特性：向
/phpmyadmin/index.php?target=db_sql.php%253f/proc/self/environ这种嵌套 target 参数，绕过简单字符串匹配 - 结论：别依赖 WAF 拦 phpMyAdmin 遍历，它该干的是防 SQL 注入和爆破，不是替代 Web 服务器层的 URI 过滤
最易被忽略的一点：phpMyAdmin 的 config.inc.php 如果权限是 644 且放在 Web 可读目录下，攻击者不用遍历就能直接下载它——里面可能有数据库密码。这事比防遍历更紧急，也更常被漏掉。
