Du bist nicht angemeldet.

Ordner vor unerlaubtem Zugriff schützen...

LapisInfernalis

Super Moderator

  • »LapisInfernalis« ist der Autor dieses Themas

Beiträge: 2 817

  • Private Nachricht senden

1

Mittwoch, 12. Januar 2005, 17:38

Ordner vor unerlaubtem Zugriff schützen...

Werte WSBler,

ich habe da mal eine Frage in Sachen Sicherheit:

Welche Möglichkeiten gibt es, einen Ordner auf einem Webserver (Linux/Apache) vor unbefugtem Zugriff zu schützen?

Konkret geht es mir um einen Ordner, der sicherheitsrelevante Daten enthält. Es handelt sich dabei um den Ordner, welche meine PHP-Scripte beinhaltet, welche in andere Seiten includiert und so dort abgerufen werden.

Auf diese Weise werden z.B. die Datenbank-Zugangsdaten an den benötigten Stellen includiert und nicht in den Seiten selbst eingetragen. Sollte nun aus irgendeinem Grund die PHP-Datei nicht geparst und als Text ausgegeben werden, so wird nichts sicherheitsrelevantes Preis gegeben.

Man würde lediglich erfahren, in welcher Datei die Zugangsdaten stecken. Aber an den Ordner mit dieser Datei soll man nicht kommen können.

Bis jetzt habe ich die Rechte des Ordners via CHMOD auf 700 gesetzt. Dadurch besteht (im Idealfall) keine Möglichkeit von außerhalb des Servers auf den Ordner und dessen Inhalt zuzugreifen.

Reicht dies als Sicherheitsmaßnahme aus, oder gibt es noch weitere Möglichkeiten, den Ordner abzusichern?
Signatur von »LapisInfernalis« Eine Milde Gabe...

Der Horizont vieler Menschen ist ein Kreis mit dem Radius Null - und das nennen sie ihren Standpunkt.
Albert Einstein (1879-1955)

A common mistake people make when trying to design something completely foolproof is to underestimate the ingenuity of complete fools.
Douglas Adams (1952-2001)

mrhappiness

Profi

Beiträge: 1 061

  • Private Nachricht senden

2

Mittwoch, 12. Januar 2005, 17:54

Wenn du Dateien oberhalb des Webroot ablegen darfst, dann packe die Dateien da hin, da kommst du nämlich von außen über den Browser nicht dran

Wenn du dich per FTP einloggst und nicht sofort im Ordne rmit der Indexseite landest, sondern eine Ebene obendrüber, dann steht dir diese Option zur Verfügung und du solltest sienutzen.
Wenn das nicht geht, dann packe eine .htaccess in den Ordner und verbieten jeden Zugriff, dann kommt man nur dann an die Daten, wenn Apache tot ist, aber ohne Webserver keine Zugriff auf Dateien, also auch recht sicher ;-)
Signatur von »mrhappiness« Ich denke, also bin ich. Einige sind trotzdem...

LapisInfernalis

Super Moderator

  • »LapisInfernalis« ist der Autor dieses Themas

Beiträge: 2 817

  • Private Nachricht senden

3

Mittwoch, 12. Januar 2005, 18:04

[q=mr_happiness]Wenn du dich per FTP einloggst und nicht sofort im Ordne rmit der Indexseite landest, sondern eine Ebene obendrüber, dann steht dir diese Option zur Verfügung und du solltest sienutzen.[/q]
Es ist in der Tat so, dass ich üben Haupt-FTP-Zugang in einer Art Stammverzeichnis lande. Online verfügbare liegen in dem Unterordner "/webseiten", wobei ich für jede Domain selbst festlegen kann, mit welchem Unterordner die URL verknüpft wird.

Doch wie kann ich dort Dateien unterbringen, auf welche die PHP-Dateien zwecks Inclusion zugreifen können?


[q=mr_happiness]Wenn das nicht geht, dann packe eine .htaccess in den Ordner und verbieten jeden Zugriff[/q]
Meinst Du damit einen "normalen" Passwortschutz mit .htacces?

Wenn ja, können die anderen PHP-Seiten auf dem Server die Dateien für das Inlcudieren denn ohne Passwortabfrage abrufen?

Wenn nein, wie lässt sich ein zusätzlicher Schutz mit .htaccess realisieren?

Vielen Dank für Deine prompte Antwort und Deine weiteren Bemühungen... ;)

LapisInfernalis
Signatur von »LapisInfernalis« Eine Milde Gabe...

Der Horizont vieler Menschen ist ein Kreis mit dem Radius Null - und das nennen sie ihren Standpunkt.
Albert Einstein (1879-1955)

A common mistake people make when trying to design something completely foolproof is to underestimate the ingenuity of complete fools.
Douglas Adams (1952-2001)

mrhappiness

Profi

Beiträge: 1 061

  • Private Nachricht senden

4

Mittwoch, 12. Januar 2005, 18:10

Zitat von »LapisInfernalis«

Doch wie kann ich dort Dateien unterbringen, auf welche die PHP-Dateien zwecks Inclusion zugreifen können?
Einfach per FTP hochladen *g*

Zum Einbinden schau dir mal $_SERVER['DOCUMENT_ROOT'] an, ich kenne die Ordnerstruktur zwar nicht, aber du solltest damit was anfangen können


Zitat von »LapisInfernalis«

Meinst Du damit einen "normalen" Passwortschutz mit .htacces?

Wenn ja, können die anderen PHP-Seiten auf dem Server die Dateien für das Inlcudieren denn ohne Passwortabfrage abrufen?

Quellcode

 
1
2

order deny, allow
deny from all
so in etwa
Diese Einstellungen beziehen sich nämlich auf Zugriffe per Webserver, PHP greift aber über die Dateifunktionen auf die Dateien zu, daher stört es sich nicht daran
Signatur von »mrhappiness« Ich denke, also bin ich. Einige sind trotzdem...

Dieser Beitrag wurde bereits 2 mal editiert, zuletzt von »mrhappiness« (12. Januar 2005, 18:11)

LapisInfernalis

Super Moderator

  • »LapisInfernalis« ist der Autor dieses Themas

Beiträge: 2 817

  • Private Nachricht senden

5

Donnerstag, 13. Januar 2005, 09:39

[q=mr_happiness]Einfach per FTP hochladen *g*

Zum Einbinden schau dir mal $_SERVER['DOCUMENT_ROOT'] an, ich kenne die Ordnerstruktur zwar nicht, aber du solltest damit was anfangen können[/q]
Du hattest recht... Klappt wirklich...

Nun:

- liegen die Daten oberhalb des Webroot
- haben CHMOD 700
- enthält der Ordner besagte .htaccess-Datei

Ich denke das sollte sicher genug sein, oder?
Signatur von »LapisInfernalis« Eine Milde Gabe...

Der Horizont vieler Menschen ist ein Kreis mit dem Radius Null - und das nennen sie ihren Standpunkt.
Albert Einstein (1879-1955)

A common mistake people make when trying to design something completely foolproof is to underestimate the ingenuity of complete fools.
Douglas Adams (1952-2001)

mrhappiness

Profi

Beiträge: 1 061

  • Private Nachricht senden

6

Donnerstag, 13. Januar 2005, 09:52

Das reicht, .htaccess brauchst du da gar nicht, da du über den Browser ja eh nicht an die Stelle kommst.
Signatur von »mrhappiness« Ich denke, also bin ich. Einige sind trotzdem...

Lesezeichen: