Télécharger les sites web qui utilisent phpMyAdmin

À propos de phpMyAdmin

Une console d’administration de base de données n’est pas une fonctionnalité de site web. phpMyAdmin existe pour donner à un exploitant une fenêtre de navigateur sur les tables MySQL et MariaDB, et sa place est sur une adresse interne ou derrière un contrôle d’accès, ce qui fait de sa découverte sur le web public une observation d’une tout autre nature que celle d’un thème ou d’une balise analytique. Personne n’a choisi cet outil dans le cadre de la conception d’un site. Quelqu’un l’a installé pour la maintenance et l’a laissé joignable, ou bien un panneau d’hébergement le livre en standard.

The phpMyAdmin Project entretient le logiciel depuis 1998 et le distribue sous licence GPL v2, sous forme de code PHP, ce qui explique en grande partie son omniprésence. Les hébergeurs mutualisés le livrent avec l’offre, les stacks de développement locales l’incluent, et les panneaux de contrôle l’installent sans rien demander. La population qui en résulte reflète bien plus les réglages par défaut de l’hébergement que la moindre décision prise par les propriétaires des sites. En octobre 2026 nous l’enregistrons sur 1 926 hôtes.

L’ensemble visible est à la fois la partie intéressante et la partie trompeuse. Une installation restreinte par adresse, protégée par une demande de mot de passe au niveau du serveur ou déplacée hors de son chemin habituel ne nous répond pas de la même façon, donc ce que nous voyons penche vers les installations laissées telles qu’elles sortent de l’archive. Quiconque lit le fichier comme une mesure du déploiement total se trompera lourdement. Prises au contraire comme une mesure d’exposition, les mêmes lignes deviennent l’un des inventaires les plus exploitables que nous publions, parce qu’une console de base de données joignable est un constat en soi.

Le relevé de version est maigre pour cet outil. Là où une chaîne de build est ne serait-ce qu’enregistrée, elle tend à être 5.2.3, et la colonne reste presque uniforme dans tout le fichier, donc elle ne séparera pas les installations à jour des installations dépassées. Quiconque se pose vraiment la question du niveau de correctif devrait traiter nos lignes comme une liste de cibles à scanner et non comme le résultat du scan. Le dire franchement vaut mieux que laisser entendre une précision que le crawl n’a pas.

Plusieurs publics se servent d’une liste de ce type. Les chercheurs en sécurité et les fournisseurs de surface d’attaque veulent savoir quels noms d’hôtes, dans une base de clients, une chaîne d’approvisionnement ou un pays, exposent une console d’administration tout court. Les hébergeurs veulent voir quels prestataires livrent l’outil par défaut et comment cela se compare à leur propre assemblage. Les vendeurs d’infrastructure s’en servent comme empreinte de la longue traîne de l’hébergement mutualisé, parce que la présence de la console à côté d’une bannière de serveur ou d’un runtime de langage particulier en dit long sur le panneau qui se trouve dessous.

L’avantage sur la vérification des domaines un par un n’est pas la vitesse. Une requête individuelle indique si un hôte répond, question que l’on ne peut poser que sur les hôtes dont on se méfie déjà. Le fichier répond dans l’autre sens, en partant de la technologie pour rendre la population, prête à être croisée avec le pays, le domaine de premier niveau, le logiciel serveur et le reste de la stack. Rien de tout cela ne se reproduit un domaine à la fois.