宝塔Linux服务器面板7.4.2及Windows面板6.8紧急安全更新

昨天，收到宝塔发布的通知：Linux面板7.4.2版本/Windows面板6.8版本存在安全隐患，其他版本无此风险，需要更新宝塔面板到最新版本。

方法一：登录宝塔linux面板后，点击右上角的更新按钮，即可。文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

方法二：文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

使用升级脚本（注意：优先在面板首页直接点更新，失败的情况下，才使用此命令，且不能在面板自带的SSH终端执行）：文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

curl https://download.bt.cn/install/update_panel.sh|bash

 文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

Windows版本6.8版本更新到Windows 正式版6.9.0 （安全版本）文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

漏洞说明：漏洞未 phpmyadmin 未鉴权，可通过特定地址直接登录数据库的漏洞，入侵者可以使用漏洞登录phpmyadmin，达到删除数据库，提权等。文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

不法人员可通过 IP:888/Pma 或者 IP:888/PHPmyadmin 即可直接登录，进入数据库获取数据（但要求必须安装了 phpmyadmin）。文章源自SEO视频网-https://www.seoshipin.cn/seojiqiao/3107.html

一旦在早期版本安装了 phpmyadmin 的时候 他更新到宝塔 7.4.2 之后 会自动生成一个 PMA 目录 里面就保存宝塔的数据库账号密码第二个是初始的宝塔数据库登录后台。

利用 cookie 来实现登录 如果你登录了宝塔 直接在数据库里面进入 是不用输入账号密码的。

如果是没登录宝塔 由于这数据库生成的目录是随机的 除非你扫目录 要不然 永远找不到那个目录！

1. 更新到宝塔 7.4.3 版本 后再测试一次 IP:888/pma ，如果提示 404 那就代表修复了。

2. 如果不想更新到最新版的话 请进入目录 /www/server/phpmyadmin/ 里面 把 PMA 目录删掉即可。

3.进入phpmyadmin设置，修改默认端口888（记得到服务器安全组开通端口）。

4.如果用不到phpmyadmin可以选择删除该插件。如不使用可以取消勾选启用公共访问权限，或者php版本设置为纯静态。其他说明：宝塔7.4.2版本起增加了adminer数据库管理软件。为了安全起见如果不使用请删除/www/server/panel/adminer目录即可。

5. 记得定期备份好数据 毕竟数据一旦丢了 就很大几率没法恢复！

6. 官方公告 https://www.bt.cn/bbs/thread-54666-1-1.html