phpadmin loggt keine login errors

[fulltilt]

ich teste gerade auf einer v-box die neue phpmyadmin und irgendwie bekomme ich nur access logs aber keine error logs ...
in der php.ini ist logging aktiviert - testweise auf alles
im vhost habe ich zusätzlich 2 logfiles angegeben pma-access & pma-error .log, apache danach neu gestartet ... nix ...

liegt es an der phpmyadmin config das hier keine user logins (fehl logins) gelogged werden?

[Joe User]

PMA wird das vermutlich abfangen, erster Ansatz wäre:

Code: Select all

grep -rin 'error_reporting' /path/to/pma

[fulltilt]

ok, das error reporting wird im PMA unterdrückt ...
es spricht aber nichts dagegen diese in ein logfile zu speichern

Code: Select all

/var/www/ispcp/gui/tools/pma/libraries/Config.class.php:407:        $old_error_reporting = error_reporting(0);
/var/www/ispcp/gui/tools/pma/libraries/Config.class.php:409:        error_reporting($old_error_reporting);
/var/www/ispcp/gui/tools/pma/libraries/config/validate.lib.php:153:    static $old_html_errors, $old_track_errors, $old_error_reporting;
/var/www/ispcp/gui/tools/pma/libraries/config/validate.lib.php:159:        $old_error_reporting = error_reporting(E_ALL);
/var/www/ispcp/gui/tools/pma/libraries/config/validate.lib.php:168:        error_reporting($old_error_reporting);
/var/www/ispcp/gui/tools/pma/show_config_errors.php:19:error_reporting(E_ALL);

kann das nur über die validate.lib.php oder Config.class.php geändert werden?

ich würde gerne fail2ban mit PMA einsetzen bzw. PMA zusätzlich absichern

[Joe User]

PMA gehört generell immer hinter ein [Basic|Digest]Auth und deswegen brauchts auch kein f2b oder anderen Quatsch.

[fulltilt]

PMA gehört generell immer hinter ein [Basic|Digest]Auth und deswegen brauchts auch kein f2b oder anderen Quatsch.

also zusätzlich zum cookie auth per htaccess user absichern oder meinst du PMA direkt auf http auth unstellen?

[Joe User]

also zusätzlich zum cookie auth per htaccess user absichern

Ja, genau so und dann kannst Du Dir fail2ban und das Gefrickel am PMA-Source sparen.

Das HTTP-AUTH von PMA finde ich persönlich nicht vertrauenswürdig, aber das ist rein subjektiv.


Was aber nicht subjektiv sondern objektiv ist, ist dass PMA häufig mit teils eklatanten Sicherheitslücken glänzt, so dass es eigentlich schon gar nicht mehr auf einen Server gehört.

[fulltilt]

ja genau, da gab es vor kurzem wohl auch mal eine version mit backdoor ;-)
danke für die infos