Wordpress-Sicherheit

    Hallo liebes Forum,

    leider habe ich noch nicht die Ahnung von GNU/Linux, Apache, SQL und Php die ich gerne hätte. Vielleicht ist meine Frage daher "schief" aber ich mache mir einfach Sorgen um die Sicherheit.

    Wie kann ich verhindern dass irgendjemand Dateien auf meinem Webverzeichnis direkt aufruft und dadurch Dinge sieht die eigentlcih nur registrierte Nutzer (ich möchte BuddyPress verwenden) sehen sollen oder - noch schlimmer - an den Inhalt der wp-config Datei kommt?
    Immerhin sind dort ja alle wichtigen Daten wie z.B. DB-Daten und Passwörter hinterlegt.
    Bei einer Suche in diesem Forum habe ich auch direkt einen Fall
    http://forum.wordpress-deutschland.org/installation/6…-angezeigt.html gefunden, wo bei einem WP-Anwender die wp-config abrufbar war und der Inhalt direkt im Browser angezeigt wurde.

    Und: wer sollte owner der WP-Dateien und -Ordner sein. Ein normaler user oder einer der noch weniger darf oder der Apache-user (http bzw. www-run)?

    Wäre nett, wenn mir hier jemand weiterhelfen kann.

    LG
    ahk

    • Gerade eben
    • Anzeige

    Hallo!

    Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

    • ✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
    • ✔️ Deutsche Server & DSGVO-konform
    • ✔️ Persönlicher Support (kein 0815-Ticket-System)

    Mehr erfahren

    Da kommen viele Dinge zusammen.

    Als erstes auf deinem Server bestimmte Verzeichnisse sperren. Wenn du nicht möchtest, daß ein Order/ sein Inhalt preisgibt, muß dieser mit einem Paßwort geschützt werden. Das geht über deinen Provider (bei mir zumindest). Dies gilt nicht für WordPress, sondern für Logs und geheime Sachen (Gema und Sony muß nicht alles sehen ;-) )

    Die nächste Regel: je weniger "Admins" desto besser bist geschützt. Mag der Kumpel auch noch so nett sein, er muß nicht layouten, my phyAdmin sauber halten, andere Dinge vornehmen, oder? Das ist kein Mißtrauen deinerseits ihm gegenüber, sondern eine Sicherheitsmaßnahme. Ich war auch ein Klick weiter Dev, aber an die Chefgeschichten kam ich nicht dran. Als Unsicherheitsfaktor war ich außen vor, wenn was schief ging. Mit WordPress selbst kannst du die Rechte sehr gut einteilen. Ein Schreiberling muß nicht Widgets verschieben können, gar andere Dinge installieren oder so.

    Wenn du das befolgst, was die Installationsanleitung sagt, dann hast auch kein Probelm mit Lunzer. Wie du an dem Problem sehen konntest, ist das nicht die "Normalität" gewesen, sondern eine Besonderheit.

    Wie du nun was an wen verteilst, mußt du wissen. Letztendlich ist alles eine Frage von... ? Ich habe schon Freunde von Freunden mit dem kompletten UO-Server weglaufen sehen.

    Darüberhinaus verteile die Aufgaben nach dem was wer am besten kann.

    Link zu Buddy: http://forum.wordpress-deutschland.org/buddypress/

    Das Leben besteht nur aus Momenten.
    Vergiss nicht das Jetzt.

    Einmal editiert, zuletzt von S.i.T. (30. Januar 2011 um 01:30)

    Hallo S.i.T,

    schonmal vielen Dank für deine Antworten.
    Das mit den privaten Verzeichnissen ist klar. aber das geht ja vermutlich nicht für wordpress ausser ich möchte, dass alle nutzer einmal ein kennwort für den zugriff zum verzeichnis und dann den login für die seite eingeben.

    was mir immer noch nicht klar ist, ist wie ich "einstellen" kann, dass niemand durch eraten der url sich z.b. die wp-config anschaut. da kennt man ja den namen und es wäre sicher leicht das zu versuchen. muss ich das durch dateirechte oder am apache oder bei php einstellen oder macht das alles die .htaccess?

    LG
    ahk

    niemand kann sich ohne wieteres die wp-config anschauen. das braucht erst 2-3 tricks^^
    ein wp blog ist schon sicher =) aber sonst halt dihc einfach an folgende regeln:
    - so wenig admins wie möglich
    - keine PHP ausführung in den beiträgen oder seiten!!!
    - gib niemandem die rechte die templatefiles/pluginfiles zu bearbeiten!

    das sind die 3 goldenen regeln. helfen schon gewaltig. dann kann dir quasi nichts passieren.
    du kannst dann noch mit ner .htaccess nen bissel was schützen kla, ist sogar empfohlen, aber die drei obenstehenden regeln bewirken schon sehr viel sicherheit.
    dann natürlich noch plugins wie "login attempts" "wp secure", dann passts eig

    Danke! gelöst.

    Hallo Leute!

    vielen Dank für eure Antworten. Das hat schon sehr beruhigt.
    Vielleicht war ich nicht präzise genug in meiner Frage; aber ich war an den technischen Details interessiert und hatte da eine kleine Denk-Lücke. Hatte, weil ich inzwischen die Antwort gefunden habe.

    Mein Gedanke war, dass ja eigentlich jede Datei im Web-Verzeichnis ausgelesen werden kann (.html oder .txt) und wenn ich z.B. eine .zip ablege wird die halt runtergeladen. So dachte ich, kann man dann doch bestimmt auch irgendwie die .php-Dateien herunterladen oder ansehen.

    Eine für mich detailliert genuge Antwort (sorry, bin da etwas pedantisch ^^) habe ich hier gefunden. http://www.php-faq.de/q-php-code.html

    Was ich übersehen hatte war, dass der Webserver - solange er korrekt funktioniert - den php-code parsed und nie "unbearbeitet" ausgiebt.

    Für mich ist das Thema dadurch gelöst.
    Danke!

    ...wenn Du folgende Sequenz in Deine .htaccess einsetzt, ist Deine WP-config.php gut geschützt:

    # schützt wp-config.php
    <files wp-config.php>
    Order deny,allow
    deny from all
    </files>

    Danke hshl,

    das schützt dann auch gegen Ausfälle des Parsers oder Probleme wie im Link des ersten Posts beschrieben. Jetzt "fühl" ich mich noch besser.

    Edit: hier http://www.php-faq.de/q-db-passwort.html hatte ich übrigens noch andere Lösungen und deren Bewertung gefunden. Ein Teil davon ist allerdings nicht ohne Eingriffe in die Original .php Dateien von Wordpress möglich. Weswegen ich erstmal nur die .htaccess Lösung wähle. Ohne das wäre mir der Ansatz den WP gewählt hat (auf funktionierenden Parser hoffen) zu unsicher.

    Einmal editiert, zuletzt von ahk (30. Januar 2011 um 19:33)

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden