Scaricare i siti web che utilizzano phpMyAdmin

Informazioni su phpMyAdmin

Una console di amministrazione di database non è una funzionalità di un sito web. Lo strumento phpMyAdmin esiste per dare a un gestore una finestra nel browser sulle tabelle MySQL e MariaDB, e il suo posto è su un indirizzo interno o dietro un controllo degli accessi, e per questo trovarlo sul web pubblico è un’osservazione di natura diversa rispetto a trovare un tema o un tag di analytics. Nessuno ha scelto lo strumento come parte del design di un sito. Qualcuno l’ha installato per la manutenzione e l’ha lasciato raggiungibile, oppure un pannello di hosting lo ha fornito di serie.

Il software è mantenuto da The phpMyAdmin Project dal 1998 e viene distribuito con licenza GPL v2 come codice scritto in PHP, il che spiega in buona parte perché si trovi ovunque. I provider di hosting condiviso lo includono nei loro pacchetti, gli stack di sviluppo locale lo contengono e i pannelli di controllo lo installano senza chiedere. La popolazione che ne risulta riflette le impostazioni predefinite degli hosting molto più di qualsiasi decisione presa dai proprietari dei siti. A ottobre 2026 lo registriamo su 6038 host.

L’insieme visibile è allo stesso tempo la parte interessante e quella fuorviante. Un’installazione con accesso ristretto a determinati indirizzi, protetta da una richiesta di password a livello di server o spostata dal suo percorso convenzionale non ci risponde allo stesso modo, quindi ciò che riusciamo a vedere è sbilanciato verso le installazioni lasciate così come sono state estratte dall’archivio. Chi legge il file come misura della diffusione totale sbaglierà di grosso. Trattate invece come misura dell’esposizione, le stesse righe diventano uno degli inventari più utili sul piano operativo tra quelli che pubblichiamo, perché una console di database raggiungibile è di per sé un rilievo di sicurezza.

Per questo strumento i dati sulla versione sono scarsi. Quando una stringa di build viene registrata, il che non è scontato, tende a essere la versione 5.2.3, e la colonna resta quasi uniforme in tutto il file, quindi non permetterà di separare le installazioni aggiornate da quelle obsolete. Chi vuole davvero conoscere il livello delle patch dovrebbe trattare le nostre righe come una lista target da scansionare, non come il risultato della scansione. Dirlo chiaramente è meglio che lasciar intendere una precisione che la nostra scansione non possiede.

Un elenco di questo tipo serve a diversi pubblici. I ricercatori di sicurezza e i fornitori di soluzioni per la superficie di attacco vogliono sapere quali hostname, all’interno di una base clienti, di una catena di fornitura o di un paese, espongano effettivamente una console di amministrazione. Le società di hosting vogliono vedere quali provider forniscono lo strumento di default e confrontare questa scelta con la propria configurazione. Chi vende infrastruttura lo usa come impronta della coda lunga dell’hosting condiviso, perché la presenza della console accanto a un determinato banner del server o a un certo runtime del linguaggio dice molto sul pannello sottostante.

Il vantaggio rispetto al controllo dei domini uno per uno non è la velocità. Una verifica puntuale dice se un singolo host risponde, e si tratta di una domanda che si può porre solo sugli host già sospetti. Il file lavora nella direzione opposta: parte dalla tecnologia e restituisce la popolazione, pronta da incrociare con paese, estensione di dominio, software del server e il resto dello stack. Nulla di tutto questo si può riprodurre un dominio alla volta.