直接启用WAF对phpMyAdmin路径精准拦截最有效，需手动配置路径匹配、启用专项规则、禁用宽松模式、限制异常UA与请求频率，并验证真实token场景下的拦截效果。
直接启用waf对phpmyadmin路径做精准拦截，比改配置、关功能更有效——因为90%的攻击流量根本到不了phpmyadmin代码层，卡在waf就结束了。
确认WAF已绑定phpMyAdmin访问路径
很多拦截失败，不是规则没写对，而是WAF根本没看到请求。phpMyAdmin默认走/phpmyadmin或/pma这类路径，但WAF策略默认只作用于根域名或主站路径，不会自动覆盖子目录。
- 宝塔WAF需在【网站防护】里为对应站点手动勾选「启用」，再点进【高级设置】→「自定义URL匹配」，填入
/phpmyadmin*、/pma*、/dbadmin*等常见变体 - 云端WAF（如阿里云、腾讯云）要检查「防护域名」是否绑定了phpMyAdmin所在子域名（比如
admin.example.com），而非仅主站example.com - Nginx+ModSecurity部署时，确保
location /phpmyadmin { include modsecurity.conf; }已写入server块，且modsecurity.conf中SecRuleEngine On处于开启状态
启用SQL注入与路径遍历专项规则
phpMyAdmin被扫最频繁的是两类载荷：一是union select类SQL注入，二是../../../../etc/passwd类路径遍历。通用WAF规则往往漏掉phpMyAdmin特有的变形，比如?server=1&target=db_structure.php%253Fserver%3D1这种双重编码绕过。
- 优先启用OWASP CRS 3.x或4.x规则集中的
REQUEST-932-APPLICATION-ATTACK-RCE和REQUEST-930-APPLICATION-ATTACK-LFI规则组，它们专治phpMyAdmin常见绕过手法 - 在自定义规则中补充匹配：
SecRule ARGS "@rx \.\./\.\./" "id:1001,deny,status:403,msg:'LFI attempt in phpMyAdmin'" - 禁用「宽松模式」：宝塔WAF或ModSecurity若开启「兼容性优先」，会放过
%252e%252e%252f（即../的三重URL编码），必须关闭该选项
限制非浏览器UA及异常请求频率
真实用户不会用curl、sqlmap、dirsearch直连phpMyAdmin，但99%的自动化攻击都这么干。单纯靠SQL特征匹配容易被混淆绕过，加一层行为过滤更稳。
- 在WAF中添加规则：当
User-Agent包含sqlmap、dirbuster、curl/7.、python-requests时，直接deny - 对
/phpmyadmin/index.php路径做速率限制：1分钟内同一IP超过5次请求即触发临时封禁（注意别误伤合法批量操作） - 拒绝
Content-Type: application/json发往phpMyAdmin的POST请求——phpMyAdmin表单提交用的是application/x-www-form-urlencoded，JSON基本都是扫描器伪造
验证拦截是否真正生效
别信控制台上的“已启用”绿标，得看真实请求是否被拦。很多WAF在phpMyAdmin场景下失效，是因为它把GET /phpmyadmin/index.php?server=1&token=xxx当成合法会话，却放过了后面跟的恶意参数。
立即学习“PHP免费学习笔记（深入）”；
- 测试用例必须带真实token参数（从正常登录页抓包复制），否则WAF可能因缺少session上下文而跳过检测
- 有效载荷示例：
/phpmyadmin/index.php?server=1&target=db_sql.php%253Fserver%253D1%2526db%253Dtest%2526table%253Dusers%2526sql_query%253DSELECT%2520*%2520FROM%2520users（URL编码后的SQL查询） - 验证成功标志：返回HTTP 403且WAF日志中出现
Matched "phpMyAdmin LFI pattern"或Blocked SQLi via ARGS:target，而不是只记录404或500
最易忽略的一点：WAF规则更新后，phpMyAdmin的静态资源（如/phpmyadmin/js/、/phpmyadmin/themes/）可能被误拦，导致界面错乱。上线前务必打开浏览器开发者工具，检查Network标签页里是否有js或css文件返回403。
