SITCON 2015距離結束也有一段時間了，再把這個投影片翻出來，把裡面的一些訣竅試過之後，真的是發現了一些，不得了的東西，而且還是那種自己開漏洞，根本是拜託駭客來攻擊阿….
我們只要在Google搜尋上，打上: site: edu.tw filetype:sql， site: edu.tw filetype:csv以及 site:edu.tw filetype:xml，光是這樣就可以找到sql產生出來的備份檔，如果備份檔裡面有寫說明，說是使用phpMyAdmin所產生的，又多一個phpMyAdmin這種東西可以測試，另外csv檔還可以找到洩漏個資的檔案，身分證字號等等都輸出在瀏覽器上….。
之後我看完這篇之後，想到phpMyAdmin版本太舊有漏洞的風險，還發現還有架站用Appserv架之外，還把這個東西直接在網站上線，這真是太恐怖了，還有連Apache都沒有設定，整個目錄都被看光光….等到vulreport修好之後，該回報了，以下就來介紹幾個常見沒有做防護，而且有漏洞的風險的情形。
http://www.slideshare.net/s3131212/sitcon-2015-45545679
有directory traversal，Appserv架站上線，phpMyAdmin版本等風險，礙於洩漏，在這邊就不提供網址了，只講可以解決的方法。
directory traversal
等於讓人可以看到所有的檔案路徑，以及架站使用的作業系統，還有可以看到使用HTTP的port，可以讓人可以足跡偵查。解決的方式是可以使用Apache 的.htaccess做設定。
phpMyAdmin舊版本漏洞
phpMyAdmin是一個以PHP為基礎開發的MySQL圖形介面管理工具，好處是圖形管理方便，壞處是常常忘記更新版本，使用舊版本會導致有漏洞產生。此外也需要將MySQL權限設定好，以免phpMyAdmin以不用權限的方式開啟。
使用架站懶人包安裝
架站懶人包是在WINDOWS上大家會喜好架站的方式之一，好處是簡單，快速又方便，缺點是，若裡面的套件，(如phpMyAdmin沒更新的話)，將會導致有風險存在。
另一個風險是，架站包萬一長時間未更新的話，將會有許多漏洞並無法做更新，像是在WINDOWS上的AppServ。這個非常的危險，必須要更新與避免使用此架站包架站。
結論
現今發生架站包AppServ與phpMyAdmin的漏洞是最多的，尤其是頻繁發生在學校，其中國高中小發生的比率最高，我認為是學校裡的資訊人員觀念不足，沒有加強外，還有重要的一點是，學的不精，加上學校還有課程需要備課，因此在這方面上會導致這樣的結果，如果要改善這樣的情形，除了學校舉辦相關課程加強訓練之外，剩下就是看老師有沒有時間與良心了……
延伸閱讀：Apache設定