[big.teejay]

Hallo alle zusammen,

es geht um eine Sicherheitsfrage, die wohl jeden Webmaster hier betrifft:

Ist es möglich, Verzeichnisse auf einem Webserver zu scannen - obwohl eine gültige Defaultseite - also eine index.htm (oder vergleichbares) - existiert ?
Mich interessiert dies speziell bzgl. Apache 2.0.x auf Linux.
Kann ein Angreifer so die Inhalte von Dateien lesen, die sich im Dokumentenverzeichnis meines Werbservers (oder in Unterverzeichnissen) befinden, die ich aber über den "normalen" Weg über die index.htm (oder index.php etc.) und die darin angegeben Links nicht zur Verfügung stelle ?

Klar - zurstmal gibt es in der httpd.conf einen Schalter, der Directory Scans unterbindet, oder ? Aber der kommt doch eh erst zum Tragen, wenn keine Default-Seite wie index.htm etc. vorhanden wäre ?

Worum es mir geht:
Ich habe einen Apachen laufen, auf dem ich PHP-Scripte ablege. In den Scripten befinden sich SQL-Statements etc. die unter keinen Umständen von Dritten ausgelesen werden dürfen.

Beim normalen Aufruf ist das ja auch kein Problem. Die phps generieren HTML Code ohne die SQL Statements etc.

ABER: Ich frage mich nun: Kann man das hacken ? Mit welchen Mitteln kann jemand an meine "Quelltexte" rankommen - und was muss ich tun, um das zu unterbinden ?

Danke für Eure Antworten
teejay

[Roger Wilco]

Kurze und knappe Antwort: Nein, es kommt niemand an den Quellcode deiner PHP-Skripte ran, wenn diese interpretiert werden und nur die Ausgabe gesendet wird. Genausowenig kann jemand in ein Verzeichnis schauen, wenn DirectoryListings abgeschaltet sind (und du nicht selbst einen Index erstellst).

[onkelchen]

Trotzdem kann es bei einer Fehlfunktion Angreifern erlaubt werden, Verzeichnisse aufzulisten, oder gar PHP Dateien im Quellcode anzuzeigen (es gibt zwar aktuell keine derartigen Lecks, es kann aber theoretisch immer der Fall sein).
Sensible Daten sollten daher möglichst immer außerhalb des DOCUMENT_ROOT gelagert sein.

[maxtheone]

und PW-Files zb von einer DB immer per require(); einbinden.
Dann sind die Zugangsdaten auch nicht sichtbar wenn der Sever down ist..

[cic]

"Dann sind die Zugangsdaten auch nicht sichtbar wenn der Sever down ist.."

a) Wenn der Server down ist, ist gar nichts sichtbar.
b) Wenn der Apache noch rennt und dummerweise mod_php ausfällt (aus welchen Gründen auch immer), sieht man dann auch die require()-Aufrufe und kann - solange die damit aufgerufenen Dateien innerhalb von DocumentRoot liegen - die so eingebunden Konfigurationsdateien natürlich ebenfalls im Browser aufrufen und angucken.

In 99,9% aller Fälle tritt aber Fall a) auf...

[mip]

Man kann auch zu inkludierende Dateien in einem Verzeichnis innerhalb des DOCUMENT_ROOTs ablegen und dies dann per deny from all schützen.

[Niflheim]

... Genausowenig kann jemand in ein Verzeichnis schauen, wenn DirectoryListings abgeschaltet sind (und du nicht selbst einen Index erstellst).

das stimmt so nicht ... denn es gibt programme mit denen man je nach server OS vers. & einstellungen (unabhängig davon ob DL an oder aus ist) die verzeichnisse auslesen kann.

[Roger Wilco]

Original geschrieben von JOat
das stimmt so nicht ... denn es gibt programme mit denen man je nach server OS vers. & einstellungen (unabhängig davon ob DL an oder aus ist) die verzeichnisse auslesen kann.

I. d. R. funktionieren diese Programme aber nicht, ausser der Server-Admin ist total hirnverbrannt. Wenn alte und fehlerhafte Versionen eingesetzt werden ist das sicherlich möglich (wenn die Versionen auch sehr alt sein müssen), aber sonst gibt es keine Möglichkeit, an den Verzeichnisinhalt zu kommen, wenn DirectoyListings deaktiviert sind.

[Niflheim]

naja..... man kann aber davon ausgehen das 50% der server bei solchen programmen ansprechen... wobei den 50% natürlich auch die dabei sind bei denen DL an ist

[onkelchen]

Naja, wir wollen mal nicht übertreiben

[big.teejay]

Nungut,

Danke für Eure Hilfe. Meine Erkenntnis, die ich aus Euren Antworten ziehe:
- Sensible "includes" nicht ind ie Document Root
- Solange mein Apache halbwegs aktuell ist, kommt mit derzeitigen Mitteln auch keiner an meine PHP-Scripte und hidden Files

---------------------------------

Nun meine nächste Frage - zum ähnlichen Thema:

Mittels .htaccess und mod_rewrite kann ich den Zugriff auf bestimmte Verzeichnisse so beschränken, daß man nur reinkommt, wenn man von einer bestimmten seite kommt (Referrer).
Beispiel:
Zugriff auf http://<server>/wichtig/
nur, wenn man von http://<server>/login.php kommt.
Alle anderen Zugriffe auf http://<server>/wichtig/ werden nach http://<server> umgeleitet.

Nun die Sicherheitsfrage:
der Referrer ist doch auch nur ein Datensatz, der von meinem Browser an den Webserver weitergegeben wird.
Ist diese Methode dann überhaupt sicher ?
Es gibt doch sicher Webbrowser, mit denen man den referrer faken kann, oder ?

Gruß big.teejay

[mip]

Original geschrieben von big.teejay
Ist diese Methode dann überhaupt sicher ?
Es gibt doch sicher Webbrowser, mit denen man den referrer faken kann, oder ?

Das Checken des Referrers ist nicht sicher, da man den Referer-Header nur allzu leicht fälschen kann. Hinzu kommt, dass der Header optional ist, also nicht unbedingt vom Client gesendet wird.
Gängige Webseitendownloader (HTTrack, Getright, etc.) beherrschen das Fälschen dieses Headers ("Spoofen") sogar von Hause aus. Beim Einsatz von Webbrowsern kann man z.B. einen filternden Proxy-Server (z.B. Proxomitron) zum Spoofen verwenden oder auf Tools wie ZSpoof zurückgreifen.
Meist reicht es aus, den angefragten URL gleichsam als Referrer zu senden, um die Referrer-Überprüfung zu "überlisten".

Der Einsatz von Referrer-Checks macht nur Sinn, wenn Du die ganze Sache statistisch betrachtest, es Dir also z.B. reicht, einen gewissen Prozentsatz Deiner Besucher mit gewisser Wahrscheinlichkeit von irgendwelchen Aktionen (z.B. Direktverlinkung von Dateien) abzuhalten.

[big.teejay]

Cool !

Eine wirklich umfassende Antwort, die alle meine Fragen beantwortet !

Danke !

[onkelchen]

Man brauch übrigens keine Spezialprogramme Referer zu faken, wget kann das und jedes 3 Zeilen Perl Script auch