Thema: eigene Error-Page

Hallo Ihr Lieben,

ich bin zur Zeit dabei, die Sicherheit meiner - derzeit noch offline- Website zu erhöhen, so dass ich bald den Schritt wagen kann, diese online zu stellen. Hierzu hangel mich zur Zeit gerade durchs Netz, um mich so schlau wie möglich zu lesen.

Hierzu habe ich auf folgender Seite (http://www.joomla-security.de/themen...lerseiten.html) gelesen, dass es auch wichtig sei, die error.php optisch zu verändern, so dass man anhand des Designs nicht erkennen kann, dass es sich um die Joomla-error.php handelt. Nun habe ich noch Fragen hierzu, in der Hoffnung, dass mir jemand weiterhelfen kann:

1. Auf der o.g. Seite wird davon gesprochen, dass man beim Fehlercode "403" besser eine 404-Seite ausliefern sollte. Ich hab recht lange hier im Forum gesucht, aber nicht finden können. Weiß jemand, wie man das macht?

2. In der Joomla-Dokumentation (http://docs.joomla.org/Custom_error_pages) steht eine Anleitung, wie man die Fehlermeldung im eigenen Template-Design ausgeben kann. Das habe ich, wie unter obigen Link stehend, umgesetzt. Seltsamerweise wird die Fehlermeldung jetzt einmal in meinem Design ausgegeben und direkt darunter noch mal im Joomla-Standard-Design (mit eigenem HTML-Head u. Body). Woran kann das liegen?

Würd mich freuen, wenn jemand hilfreiche Tipps hätte! Schon mal vielen Dank im Voraus!

Du solltest Dir erstmal die Frage stellen, warum Du alle Hinweise auf Joomla tilgen willst? Aus Sicherheitsgründen ist das nämlich nicht notwendig.

Wenn es um die Optik geht, da gebe ich Dir Recht. Die 404-Error-Page von Joomla ist nicht wirklich schön und auch nicht zweckmäßig. Besser geht es bspw. so http://www.time4joomla.de/tipps-a-tr...lerseiten.html oder so http://www.nik-o-mat.de/joomlafan/jo...oomla-1.5.html

Weitere Hinweise liefert Google auf Anfrage joomla+eigene+fehlerseiten.

Zitat von ronja-needs-help

Wie kommt es dann, dass auf einer Joomla-Security-Website dazu geraten wird?

Solche Sicherheitstipps sind einfach nutzlos. Das CMS zu verschleiern bringt rein gar nichts, denn

1.) kann jeder mit einem geübten Auge sofort erkennen ob es sich um ein Joomla handelt oder nicht.

2.) Die Hackangriffe die zu 90% (wenn nicht sogar noch mehr) ausgeführt werden, machen heutzutage automatische Scripts um entsprechende SPAM Möglichkeiten zu verteilen. Die Scripte schauen nicht ob es ein Joomla ist oder nicht, sondern sie fahren einfach ihre Attacken wenn es geklappt hat ist schön. Wenn nicht dann gehts weiter...

Sicherheit kannst Du dir nur dadurch erschaffen, das Du regelmäßig deinen eigenen Rechner auf Viren & Trojaner schützt. Dein Joomla (und auch ALLE Erweiterungen) immer auf den neusten Stand hälst. Und das allerwichtigste!!! Regelmäßige Backups von Code und Datenbank!

Gruß Dennis

Zitat von ronja-needs-help

Wie kommt es dann, dass auf einer Joomla-Security-Website dazu geraten wird?

Weil die Macher dieser Seite der Meinung sind, daß es nötig ist.

Im Ernst: 99% aller Angriffe auf Webseiten (nicht nur Joomlasysteme) werden mit automatisiert ablaufenden Scripten durchgeführt. Diese prüfen nicht, ob Joomla oder eine bestimmte Version einer Komponente installiert sind, sondern sie führen stumpf das Angriffsmuster aus. Wenn es klappt, dann haben die Angreifer ihr Ziel erreicht, ansonsten gehts automatisch weiter zu nächsten Domain.

Angriffe, wo jemand prüft, ob und welche Joomlaversion installiert und welche Erweiterung in welcher Version sind sehr selten. Meistens sind das manuelle Angriffe mit einem entsprechenden (persönlichen?) Hintergrund.

Wenn Du die Basics der Sicherheit einhältst und der Hoster sein Übriges dazu beiträgt, kann Dir eigentlich nichts passieren. Wenn doch etwas passiert, hätten es die Tips dieser Security-Seite auch nicht verhindert.

Hättest Du hierfür einen Tipp, wo die Ursache für mein o.g. Problem liegen könnte?

Nein, so aus dem Hut nicht. ich habe nur Google mit dem Suchmuster joomla+eigene+fehlerseiten gefüttert und die zwei Fundstellen, die mir aus früheren Versuchen bekannt waren, gepostet.

Ich finde es fatal, Fehlermeldungen zu fälschen, nur um einen gefühlten Sicherheitsgewinn zu erzielen.
Wenn es mal ein Problem geben sollte, wo ein 403 korrekt wäre und Admin/Helfer anhand der Meldung das Problem lösen könnten, würden sie durch eine gefakte 404 Meldung in die Irre geschickt. Und Du erinnerst Dich mit Sicherheit in diesem Streßmoment nicht daran, daß Du vor vielen Monden da mal so eine Umleitung eingebaut hast.