Отнюдь. Они должны быть закрыты, да, но довольно часто встречаются не зкарытые фаерволом и доступные для любых коннектов серверы. В ряде случаев это оправдано.

Mysql - та же гидра. Форма и вывод phpma меняется от версии к версии, лучше всего написать\заказать кастомный брут. Но ничего годного таким брутом снять не получится, админу надо быть клиническим идиотом, чтобы ставить простые пароли и внешние коннекты.

Metasploit, но шансов мало.