Descarregar sites que utilizam Adminer

Sobre Adminer

Um painel de administração de bases de dados é um instrumento de manutenção e não algo que o dono de um domínio tencione publicar. Encontrar o Adminer a partir de fora significa que a interface respondeu a um pedido que chegou pela internet aberta e não de uma rede privada, o que quase nunca é o que a pessoa que o carregou tinha em mente.

O Adminer é um front end de bases de dados escrito em PHP, publicado com licença Apache 2.0 e disponível desde 2007. O argumento de desenho é o número de ficheiros: carregue um ficheiro, utilize-o, apague-o. Na prática, o passo de apagar é o que fica por fazer, e são as cópias esquecidas a razão por que a ferramenta sequer aparece num rastreio da web pública. Um ecrã de autenticação que responde a um pedido não é uma falha de segurança, mas um ecrã de autenticação que responde a partir de um endereço público é uma superfície exposta que tem uma palavra-passe como único controlo restante.

A dispersão de versões torna o argumento mais preciso. Registamos 11 cadeias de versão distintas, e a que vemos com mais frequência é a 4.8.1. Um ficheiro único alojado pelo próprio não se atualiza sozinho, por isso a versão presente num anfitrião é uma marca temporal de quando alguém mexeu naquele servidor pela última vez e não um reflexo do que o projeto distribui atualmente. Uma dispersão larga de cadeias antigas por toda uma população é um indicador razoável de quanto da base instalada está ao abandono, o que importa quando é publicada uma vulnerabilidade contra uma linha de versões concreta e a correção exige que um humano repare nela.

Em outubro de 2026 o conjunto de dados regista o Adminer em 55 sites. O número real é certamente mais alto. As cópias estacionadas em caminhos impossíveis de adivinhar, protegidas por autenticação ao nível do servidor, restringidas por listas de endereços autorizados ou servidas em portas que um rastreador da web nunca visita são invisíveis a qualquer observação externa. O nosso valor é o subconjunto acessível publicamente, e a diferença entre esse subconjunto e a base instalada não é algo que possamos medir com honestidade, por isso não o afirmamos.

Quem precisa da lista está normalmente a defender-se e não a sondar. Os fornecedores de alojamento auditam o parque dos seus próprios clientes à procura de painéis de administração expostos. Os fornecedores de gestão de superfície de ataque precisam da população para estabelecer uma referência do que é normal. Quem investiga o envelhecimento das ferramentas alojadas pelo próprio precisa da distribuição de versões por muitos anfitriões, não por um. Todas estas perguntas são sobre um conjunto de domínios, e nenhuma delas se responde verificando um domínio que já se conhece. Verificar um domínio confirma uma suspeita. A exportação produz, logo à partida, o conjunto de anfitriões a examinar, ligado ao fornecedor de alojamento, ao país e ao resto de cada pilha, e é aí que a análise realmente começa.