必须关闭$cfg['AllowArbitraryServer']，因其允许用户在登录页输入任意host:port，绕过服务端校验，导致DNS rebinding、SSRF及任意文件读取；即使Nginx/Apache层限制Host头或已配置$cfg'Servers'['host']='127.0.0.1'，该开关开启时仍完全失效。
必须关闭 $cfg['AllowArbitraryServer']，因为它会让 phpMyAdmin 直接信任用户在登录表单里填的任意 host:port，跳过所有服务端校验——攻击者只要控制一个域名（比如 evil.com → 127.0.0.1），就能让 phpMyAdmin 主动连接本地 MySQL，进而触发任意文件读取、DNS rebinding 或 SSRF。
AllowArbitraryServer = true 会直接绕过 host 白名单
这个开关一开，phpMyAdmin 就不再检查 $cfg['Servers'][$i]['host'] 的硬编码值，而是从 $_REQUEST['server'] 或登录页输入的 host 字段动态构造 MySQL 连接目标。哪怕你写了 $cfg['Servers'][1]['host'] = '127.0.0.1'，它也完全不生效。
- 登录页输入
host: 127.0.0.1:3307→ phpMyAdmin 就真去连 3307 - 输入
host: evil.com:3306（且该域名 A 记录指向 127.0.0.1）→ 成功触发 DNS rebinding - 输入
host: 192.168.1.100:3306→ 可能穿透内网，暴露数据库给外网可控服务器
它和任意文件读取漏洞强绑定
当 $cfg['AllowArbitraryServer'] = true 且 MySQL 服务端启用了 local_infile=ON（默认很多发行版开启），攻击者可部署恶意 MySQL 服务（如 Rogue-MySql-Server），诱导 phpMyAdmin 连过去，利用 LOAD DATA LOCAL INFILE 协议阶段读取任意 PHP 进程有权限读的文件（如 /etc/passwd、/var/lib/php/sessions/xxx）。
- 漏洞利用不依赖登录态——只要登录页能访问，就可发起连接
- phpMyAdmin 4.8.x 之前版本中，该配置还曾导致未授权 RCE（配合
$cfg['ServerDefault'] = 0） - 即使你禁用
local_infile，仍存在 SSRF 和端口扫描风险
它让 Web 服务器层的 Host 校验形同虚设
Nginx/Apache 的 Host 头限制（只允许 localhost、127.0.0.1）只能拦住 HTTP 层请求，但 AllowArbitraryServer 是在 PHP 层主动发起新的 MySQL 连接——这个连接根本不出现在 Web 日志里，也不经过反向代理，Web 层完全无法感知或干预。
立即学习“PHP免费学习笔记（深入）”；
- 你在 Nginx 配置了
if ($host !~ ^(localhost|127\.0\.0\.1)$) { return 444; }？没用。 - 你用
iptables拦了外部对 3306 的访问？没用——连接是 phpMyAdmin 进程自己发的，源 IP 是 127.0.0.1 - 唯一有效防线就是：关掉它，并显式写死
$cfg['Servers'][$i]['host']
真正难处理的是那些“必须连多台服务器”的场景——这时不能靠开 AllowArbitraryServer 去 hack，而得用预定义的 $cfg['Servers'] 数组 + 严格校验每个 host 值为 IP 或可信域名，再配合 Web 层反向代理做路由分发。否则，一个开关，等于把数据库的 TCP 插座交到攻击者手上。
