htaccess automatisch verändert - 500 Internal Server Error - Hacker?

  • Hallo lieber WP-Gemeinde,

    ich habe vor einigen Tagen einen seltsamen Fehler beobachtet. Kurz etwas dazu wie alles ablief:

    Vormittags ein wenig im Backend geschrieben (Artikel, Seiten). Gegen Mittag versucht die Seite aufzurufen: Da kam der Fehler mit Code 500 - Internal Server Error.

    Prompt habe ich bei meinem Provider angerufen. Dem Techniker fiel dabei sofort auf: "Ihre htaccess wurde um 1320 Uhr geändert, die sieht auch ziemlich wüst aus".

    Das seltsame an der Sache ist: Ich habe nichts neues hochgeladen, auch keine neuen Plugins oder sonstiges installiert. Komisch.

    Die htaccess habe ich heruntergeladen, und eine ältere aus einem Backup hochgeladen. Alles läuft, kein Problem.

    Heute wieder selber Fehler mit Code 500. Im FTP-Programm wurde auch eine änderung der htaccess angezeigt. Selbes Spiel: alte Datei hochgeladen und nun geht es wieder.

    Aber warum verändert sich die htaccess von selbst? Kann es sein das ich Opfer eines Hack-Angriffes bin?
    Der Support meines Providers wollte mir keine Auskunft über genaueres zur Veränderung der Datei geben (IP etc.), die Infos bekommt nur die Kripo wenn sie ermitteln.
    Könnte das an einem Plugin liegen?
    Der Blog läuft wie er ist seit gut einem Jahr, da war noch nie etwas derartiges.

    Ich hoffe das Ihr mir helfen könnt und etwas Licht ins Dunkel bringt.

    Vielen Dank schonmal fürs lesen,
    elgreeko

    So sieht meine normale htaccess aus:

    Und so sah die veränderte htaccess aus.

    • Anzeige

    Hallo!

    Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

    • ✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
    • ✔️ Deutsche Server & DSGVO-konform
    • ✔️ Persönlicher Support (kein 0815-Ticket-System)

    Mehr erfahren

  • Hast du vielleicht jedes mal an den Permalink-Einstellungen rumgespielt? Durch diese Einstellung schreibt WP was in die .htaccess. Setzt mal die CHMOD-Rechte der Datei auf 644.

    [size=10]Bitte immer zuerst die Forensuche nutzen und erst danach Deine Fragen hier im Forum stellen, denn sehr vieles wurde schon mehrfach beantwortet. Bitte dabei auch die Forenregeln beachten.
    Kein Support per PN - Fragen gehören ins Forum.[/SIZE]
    [size=8]Wenn du eine weise Antwort verlangst, musst du vernünftig fragen. (Johann Wolfgang von Goethe)[/SIZE]

  • Hi maxe,

    die Datei hat und hatte CHMOD 644.
    Permalinks sind eingestellt, aber an den Einstellungen habe ich vor dem Problem und während dessen nichts verändert.

    Das Prob selbst trat einfach so "mir nichts dir nichts" (oder wie das heißt ;)) auf.

    Alles was ich gemacht habe war Artikel schreiben (und als Entwurf speichern, und auch einige Veröffentlicht)

    Edit: Ich habe die Logging-Funktion für Dateizugriffe eingeschaltet, dabei ist mir folgendes aufgefallen:
    Die .htaccess wird teilweise alle 10 bis 15 sek neu geschrieben von Wordpress ist das normal?
    Also ich nehme an das der Core von Wordpress dies tut (meine Vermutung beruht auf "ausführendes Script") und die NextGen-Gallery.
    was ich hier noch ausgelassen habe sind die Temporären Dateien die noch geschrieben(und anschließend auch wieder gelöscht werden).

    Aug 03 20:00:10
    ausfuehrendes Script: ~/wordpress/index.php ~/wordpress/index.php
    betroffene Datei: wordpress/.htaccess
    Vorgang: create

    Aug 03 20:00:10
    ausfuehrendes Script: ~/wordpress/index.php ~/wordpress/index.php
    betroffene Datei: wordpress/.htaccess
    Vorgang: open ......

    Aug 03 20:00:24
    ausfuehrendes Script: ~/wordpress/wp-content/plugins/nextgen-gallery/nggshow.php ~/
    betroffene Datei: wordpress/.htaccess
    Vorgang: create

    Aug 03 20:00:24
    ausfuehrendes Script: ~/wordpress/wp-content/plugins/nextgen-gallery/nggshow.php ~/
    betroffene Datei: wordpress/.htaccess
    Vorgang: open

    Das Problem ist das die Logging Funktion bis Gestern Abend nicht ging, erst nach einem Anruf bei Strato wurde Sie von der Technik eingerichtet. Das einzige was sich nun verändert hat ist das ich WP Supercache installiert habe.

    Ich habe auch sämtliche Passwörter geändert und werde es weiter beobachten. Mir geht es darum zu Wissen ob ich in Wordpress irgendwas falsch habe oder wirklich irgendjemand, irgendwie Zugang hatte. (Man weiss ja nie wie die Jolt-Süchtigen Hacker so abgehen)

    Einmal editiert, zuletzt von elgreeko (4. August 2009 um 08:11)

  • Eine radikale Maßnahme wäre, die Dateirechte auf 444 zu setzen, also allen die Schreibrechte zu entziehen. Vorher natürlich eine korrekte Datei hochladen.

    Gruß
    Ingo

    Wenn ich helfen konnte, bitte [ Gefällt mir ] klicken. :-)

    Einmal editiert, zuletzt von Putzlowitsch (28. Oktober 2009 um 16:12)

  • Eigentlich nicht, zumindest nicht, daß ich wüßte. Wordpress selbst schreibt die Rewrite-Regeln rein. Aber eigentlich nicht ständig, sondern nur wenn es der Meinung ist, die stehen da nicht richtig drin.

    Gruß
    Ingo

    Wenn ich helfen konnte, bitte [ Gefällt mir ] klicken. :-)

  • ich habe das selbe problem!
    die htaccess-datei wird andauernd verändert und oft so, dass nur noch eine 500.er meldung kommt :(
    was kann ich nur tun?

    wie hast du das problem gelöst?

    dateirechte auf 444 bringen nichts, die werden immer gleich mitgeändert...

  • Prima, in einem 2 Jahre alten Thread rein gepostet.
    Kannste deine Formulierung mal etwas genauer und vor allem verständlicher gestalten. Ich habe nicht verstanden, warum Google deine Kohle "verbraten" hat bzw was das mit deinem Problem zu tun hat.

  • Also wenn die Symptome identisch sind mit denen des Thread erstellers wieso muss ich dann ein neues Thema eröffnen? Sonst wird man ständig auf die Suche hingewiesen und nutzt man sie ist es verkehrt :( Ps. Ich Depp meine natürlich Adwords, seite war eben offline und die Werbung lief weiter, ist aber weniger wichtig jetzt) Das htaccess Problem dagegen ist viel größer

  • Habe nun vorübergehend die "schreib-Rechte" raus genommen (auf 404 gesetzt) mal schauen ob das funktioniert. Oder entstehen mir daraus wiederum andere Nachteile? Hat keiner ne Idee, kann doch irgendwie nicht sein das sich die Datei von Geisterhand verändert...?!

  • die .htaccess verändert sich i.d.R. nicht von Geisterhand.
    Lediglich verändert WP diese Datei, wenn die Permalink-Einstellungen angepasst werden. Aber das sollte bei dir keine Rolle spielen, da bei dir die Permalinks (sprich mod_rewrite) ja läuft.

    Was genau wurde denn in der .htaccess geändert, so dass die Site nicht mehr lief?
    Ich kann mir nur vorstellen, das irgendein Plugin da vielleicht rein grätscht.

    [size=10]Bitte immer zuerst die Forensuche nutzen und erst danach Deine Fragen hier im Forum stellen, denn sehr vieles wurde schon mehrfach beantwortet. Bitte dabei auch die Forenregeln beachten.
    Kein Support per PN - Fragen gehören ins Forum.[/SIZE]
    [size=8]Wenn du eine weise Antwort verlangst, musst du vernünftig fragen. (Johann Wolfgang von Goethe)[/SIZE]

  • Hmm die Permalinks habe ich verändert, allerdings bereits vor 2 Wochen. Plugins habe ich in den letzten Tagen das Jetpack und Seo von Yoast und Google News von Yoast installiert und Woocommerce deaktiviert. Allerdings alles bereits vor einigen Tagen und gelaufen ist es ohne Probleme seither, bis dann gestern nachmittag die 500er Meldung kam und heute Nacht 12h später wieder. Anbei die beiden htaccess:

    Mit dieser war die Seite weg:

    #


    # BEGIN WordPress
    <IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteBase /
    RewriteRule ^index\.php$ - [L]
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteRule . /index.php [L]
    </IfModule>


    # END WordPress
    ess

    Mit dieser funktioniert alles

    # BEGIN WordPress
    <IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteBase /
    RewriteRule ^index\.php$ - [L]
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteRule . /index.php [L]
    </IfModule>


    # END WordPress

  • jetzt wäre die Frage, wie das

    ess

    da rein kam?

    WP geht mMn in die .htaccess, sobald du die Permalink-Einstellung anklickst ... du musst also noch gar nix verstellt haben. Warst du zu diesen Zeitpunkten evtl. vorher in diesen Einstellungen?
    Ansonsten macht WP da nix dran.

    [size=10]Bitte immer zuerst die Forensuche nutzen und erst danach Deine Fragen hier im Forum stellen, denn sehr vieles wurde schon mehrfach beantwortet. Bitte dabei auch die Forenregeln beachten.
    Kein Support per PN - Fragen gehören ins Forum.[/SIZE]
    [size=8]Wenn du eine weise Antwort verlangst, musst du vernünftig fragen. (Johann Wolfgang von Goethe)[/SIZE]

  • Eben nicht, hatte weder gestern Nachmittag noch heute Nacht etwas daran gemacht, auch vorher nicht. Zumal ich immer, nachdem ich mich auslogge schaue ob die Seite noch funktioniert. Jetpack hat die Funktion die Seite zu überwachen was auch ziemlich gut funktioniert, und die Meldung das sie offline ist bekam ich beide male erst Stunden nach dem letzten Login. Bei mir ist es identisch wie beim Thread Ersteller zu Beginn :cry:

  • Nein, ein Nachteil wird daraus nicht entstehen. Allerdings ist das nur eine rumdoktern an den Symptomen. Besser wäre es, die Ursache zu finden.

    Im schlechtesten Fall hilft es auch nicht, die Schreibrechte zu entziehen, denn der Verursacher des Problems kann möglicherweise auch wieder die Schreibrechte setzen.

    Gruß
    Ingo

    Wenn ich helfen konnte, bitte [ Gefällt mir ] klicken. :-)

  • Stimmt, allerdings wurde scheinbar schon vor zwei Jahren keine Lösung gefunden :s Kann es etwas mit dem Plugin Cachify zu tun haben? Das hatte ich drauf und es war soweit ich weiß auf 12h eingestellt, denn zufällig war meine Seite gegen 15 Uhr offline und dann nachts um drei wieder. Also genau 12h später, bin gespannt ob sie in einer Stunde nun wieder weg ist. :s Das Plugin ist das einzige was mit derzeit einfällt, allerdings ist es deinstalliert!

  • Stimmt, allerdings wurde scheinbar schon vor zwei Jahren keine Lösung gefunden :s...

    Weil keine Lösung gefunden wurde, heißt das ja nicht, daß es keine gibt. Es ist nur schwer von außen da irgendwie zu helfen. Wenn das Problem bei einer meiner Seiten auftreten würde, hätte ich schon einen Plan, wie ich vorgehen täte.

    Es gibt ja im Prinzip zwei Fragen zu klären. Wer oder was schreibt in die Datei? Und warum passiert das fehlerhaft?

    Das ess-Fragment sieht aus, wie das Ende der Kommentar-Zeilen mit #... WordPress. Ich vermute deshalb, daß durchaus Wordpress, das Theme oder ein Plugin der Übeltäter ist.

    Gruß
    Ingo

    Wenn ich helfen konnte, bitte [ Gefällt mir ] klicken. :-)

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!