Thema: JoomlaPack - Deutsch (Sammelthread)

Hi,
ich habe die beiden relevanten Punkte mal übersetzt. Hier das Ergebnis:

Q203 - Default output directory in use

Gewichtung: Mittel
Beschreibung

Sie lesen diese Seite, weil JoomlaPack festgestellt hat, dass das Standardausgabeverzeichnis und / oder das temporäre Verzeichnis genutzt wird. Diese Seite informiert sie über die möglichen Fallstricke und Sicherheitsbedenken der Standardkonfiguration und auch darüber, wie Sie Ihre Installation absichern können.
Was ist das Temporäre- bzw. Sicherungsverzeichnis und warum sollte ich mich darum kümmern?

Das Termporäreverzeichnis enthält einen Auszug aus der Datenbank (MySQL-Dump .sql-Datei) während die Sicherung läuft. Dieser Auszug wird gelöscht, sobald der Sicherungsvorgang den nächsten Schritt geht, der Sicherungsprozess mit einem abfangbaren Fehler endet oder wenn eine neue Sicherung gestartet wird, falls z.B. die vorherige Sicherung fehlgeschlagen ist. Sollte die Sicherung mit einem fatalen PHP-Fehler scheitert, bleiben diese Dateien aber bestehen. Ein "böser Nutzer" mit Zugang zu diesen Dateien könnte damit an geheime und sicherheitsrelevante Informationen aus der SQL-Datei gelangen.

Auf der anderen Seite enthält das Sicherungsverzeichnis die Sicherungsdateien. Manche von diesen sind vollständig, andere sind unvollständig (weil z.B. der Sicherungsprozess an irgendeinem Punkt abgebrochen ist). Eine Sicherungsdatei enthält alle Dateien ihrer Internetseite, inklusive Datenbank und den Zugangsdaten zur Datenbank. Ein "böser Nutzer" mit Zugang zu diesen Dateien kann ALLES damit anstelle, und noch schlimmer, er könnte eine EXAKTE KOPIE Ihrer Seite auf einem Server seiner Wahl aufsetzen um zum Beispiel wege herauszufinden, um ihre Seite anzugreifen.

Warum ist es schlecht, das Standardverzeichnis zu nutzen?

Wie schon gesagt, ein "böser Nutzer" muss Zugang zum Temporären- bzw. zum Sicherungsverzeichnis haben, um den Inhalt auszuforschen. Das standardmäßig zugewiesen Ausgabeverzeichnis der Sicherung, ist eine wohl bekannte, mit dem Browser zugängliche Adresse. Im Prinzip ist es so, wenn Ihre Domain www. beispiel .de lautet, ist das Standardausgabeverzeichnis der Sicherung unter http://www. beispiel. de /administrator/components/com_joomlapack/backup zu erreichen. Das ist im Prinzip ein möglicher Angriffspunkt, wenn Sie nicht handeln.


Workaround - Lösungsvorschlag

Bitte berücksichtigen Sie, dass seit JoomlaPack 1.3 und höheren Versionen das von Joomla in der configuration.php angegebene temporäre Verzeichnis genutzt wird (Konfigurationseintrag temp_dir).
Die Sicherheitsvorkehrungen, die für ein benutzerdefiniertes Ausgabeverzeichnis der Sicherungen vorgeschlagen werden, gelten genau so auch für das temporäre Verzeichnis!

Als erste Verteidigungslinie, legt JoomlaPack eine leere index.htm-Datei im Standardausgabeverzeichnis ab. Das ist erstmal genug, um ScriptKiddies abzuhalten. Ein ernstzunehmender Hacker wird über diesen Versuch höchsten schmunzeln. Um leicht zu erratende Dateinamen für die Sicherungen zu vermeiden, vergibt JoomlaPack hash-Werte als namen für die temporären Dateien. Wie auch immer, die Namensgebung der Sicherung wird Ihnen überlassen und kann daher manchmal vorhergesagt bzw. erraten werden, besonders wenn sie die vorgegebene Namenskonvention nutzen.

Standardmäßig ist seit JoomlaPack 1.2.b3 und späteren Versionen eine .htaccess-Datei im Standardausgabeverzeichnis hinterlegt, welche Browsern den direkten Zugriff auf dieses Verzeichnis verweigert. Dennoch hat dieses Vorgehen einige Mängel, da nicht alle Webserver .htaccess-Dateien unterstützen (z.B. IIS). Manche Anbieter verbieten die Nutzung von .htaccess-Dateien in manchen oder gar allen Ordnern. In solchen Fällen, sind sie NICHT geschützt und Sie sollten sich mit Ihrem Anbieter in Verbindung setzen, um einen Schutz für dieses Verzeichnis einzurichten.

Alternativ können Sie auch ein Verzeichnis über Ihrem Wurzelverzeichnis Ihres Servers wählen, wo effektiv niemand mit einem Webbrowser zugriff haben kann. Leider unterliegen diese Verzeichnisse den strengen open_basedir Bestimmungen und / oder dem PHP Safe Mode, weshalb sie dann keine Sicherung durchführen können.

Wenn Sie gewungen sind, einen Odner zu wählen der unter Ihrem Wurzelverzeichnis liegt, sollten Sie den direkten Zugriff auf dieses Verzeichnis. Sollte Ihr Server .htaccess-Dateien unterstützen, erzeugen Sie einfach eine Datei mit folgendem Inhalt:

deny from all

und das zweite:

Q401 - ZIP archive format selected

Gewichtung: Leicht
Beschreibung

Sie haben sich entschieden, das Zip-Format zu nutzen. Sie sollten sich die folgenden Beschränkungen bezüglich der Erstellung von Zip-Archiven vor Augen führen:

• Es ist sehr Datei- und Datenbankintensiv. Auf manchen überladenen Hostern, könnte der Sicherungsvorgang während der Erstellung des Archivs fehlschlagen.
• Eine Zip-Datei besteht aus zwei Teilen: die eigentlichen Dateien und das zentrale Verzeichnis (ein Anhang an das Verzeichnis, mit einer Liste aller beinhalteten Dateien). Aus Effizienzgründen wird das zentrale Verzeichnis in eine separate Datei geschrieben und abschließen werden die zwei Dateien "verklebt". Bei Seiten mit einer großen Anzahl von Dateien kann dieser Prozess fehlschlagen.
• Es gibt einige Beschränkungen bei der Berechnung von CRC-Prüfsummen, ein notwendiger Schritt bei der Erzugung von Zip-Dateien. JoomlaPack kann die meisten davon aufspüren und Sie warnen, weil im Fehlerfall die CRC-Prüsumme eine fehlerhafte Datei erzeugt, die nur umständlich wieder zu entpacken wäre. Außerdem kann die Berechnung der CRC-Prüfsumme auch auf neueren Systemen, so lange dauern, dass der Prozess abbricht.

Workaround - Lösungsvorschlag

In den meisten Fällen brauchen Sie sich keine Sorgen zu machen. Sollte die Sicherung unter verwendung des Zip-Formats als Ausgabeformat zu langsam oder gar unmöglich sein (also wenn sich JoomlaPack z.B. aufhängt), empfehlen wir Ihnen das JPA-Format als Ausgabeformat zu wählen. Dieses Format ist wesentlich effizienter währed der Sicherung und beim Auspacken.

Viel Erfolg damit
Gruß
JamFX

Ja das war jetzt kein Problem. Ich hatte die schon übersetzt und an den Nicholas (den Chef) geschickt. Der ist nur zugeschüttet mit Arbeit (der hat halt noch nen normaler Job nebenbei ). Irgendwann (in ferner ferner (ferner) Zukunft) könnte es sein, dass die JoomlaPack.net-Seite mit Joomlfish mehrsprachig wird. Sicher is aber nix!
Gruß
JamFX

Hi,

also erstmal gut, dass du es getestet hast. Das machen nicht viele! Jetzt aber zu deinem Problem: Haben die virtuemart-Tabellen ein anderes Präfix? Ich kenne mich mit Virtuemart nicht aus, daher meine "dummen Fragen" zu VM.
Ansonsten würde ich dich bitten, mit diesem wichtigen Problem bei den Jungs von joomlapack.net im Forum zu melden. Die können sicher schnell zum Problem vordringen und einen möglichen Bug beheben, falls es einer ist.

Ich würde jetzt noch fragen: Ist die Sicherung ohne Fehler durchgegangen? Hast du evtl. Verzeichnisse / DB-Tabellen (z.B. durch Profile) ausgeschlossen?

Gruß
JamFX

Hi,
da ja dennoch irgendwas fehlt musst du heraus finden was. Da kann ich dir leider nicht helfen
Gruß
JamFX