Plötzliche UNERWÜNSCHTE Werbeeinblendung

Setze die Rechte entsprechend, das keine Datei unter /uploads ausgeführt werden kann.

Hille,

ist eine Index-Datei mit

<?php exit;?>

aus deiner Sicht dort sinnvoll?

Zitat von Gerd-E.

ist eine Index-Datei mit

PHP

<?php exit;?>

aus deiner Sicht dort sinnvoll?

nö - das beendet nur das Script.

Du musst dafür sorgen, dass in dem Verzeichnsi erst gar keine PHP-Scripte ausgeführt werden können.

So sieht die .htacess bei mir aus
https://github.com/r23/MyOOS/blob…loads/.htaccess

aber damit hast die Sicherheitslücke noch nicht gefunden und beseitigt.

Zitat von cicyl

Im Uploadordner fand ich auch tatsächlich eine .php Datei, die dort nicht hingehörte.

Du kannst *keiner* Datei mehr auf dem Server trauen. Auch nicht den Bildern! Es wird vermutlich ein Bild dabei sein, dass nicht von dir ist. Diese Grafik erst löschen, wenn dein System _SICHER_ ist.

Viel Glück

Ralf

Zitat von Gerd-E.

ist eine Index-Datei mit

PHP

<?php exit;?>

aus deiner Sicht dort sinnvoll?

Es gibt 2 Möglichkeiten:

1. Externe Zugriffe auf PHP Dateien deaktivieren (/wp-includes und /wp-content)

In die .htaccess im root Verzeichnis

RewriteCond %{QUERY_STRING} !error
RewriteCond %{THE_REQUEST} ^[A-Z]{3,9}\ /(wp-includes|wp-content)/(.+)\.php\ HTTP/
RewriteRule .* - [F]

2. einfach nur das Ausführen unter /uploads verbieten

In die .htaccess im /uploads Verzeichnis

<FilesMatch "\.(php|php3|php4|phtml)$">
Deny from all
</FilesMatch>

Ich persönlich bevorzuge die 1.Variante

Zitat von cicyl

So sieht meine htaccess jetzt für wp-content aus:
# Disable direct access of any *.php files in /wp_content folder
<FilesMatch .php>
Order deny,allow
Deny from all
</FilesMatch>

Ist es sinnvoll den Unterordner uploads noch zusätzlich per htaccess zu schützen?

Damit läuft aber deine Seite nicht mehr ;-). Im Verzeichnis /wp-content sind doch Scripte, die ausführbar sein müssen. Nimm eine Variante von meinen beiden Beispielen.

Zitat von cicyl

Ist es sinnvoll den Unterordner uploads noch zusätzlich per htaccess zu schützen?

Mein Beispiel bezog sich auf den Unterordner blog / wordpress / wp-content / uploads auf meinem Server. Wenn dein Server auch Perl Scripte ausserhalb von cgi-bin ausführt - bringt dir dies nichts - rein gar nichts.

Ich probiere dies in der Regel mit einem Perl Script eben aus

check.pl

#!/usr/bin/perl -w


print "Hallo Welt\n";

Ich rufe das Script dann im Browser auf http://...../uploads/check.pl
und erhalte ich "Hallo Welt" zurück... erweitere ich entsprechend

zum Beispiel

<FilesMatch ".(pl|php|cgi|spl)$">

aber dies von der Umgebung abhängig.