Thema: defined( '_VALID_MOS' ) or die( 'Restricted access' ); wo mit rein??

Hallo,

also bis jetzt is mir ja noch nix passiert.. hoffe das bleibt auch so..

hab mal ne frage.. dieses

Code:

defined( '_VALID_MOS' ) or die( 'Restricted access' );

kann man das zum absichern nicht enfach in alle php dateien schreiben??
also sprachdateien, config.php und so...

oder macht das keinen sinn?? reicht das neben 644 rechten überhaupt?? oder ist 444 füt dateien die nicht geschrieben werden müssen besser??

lg floxworl

Zitat von Haltrust

Bei mir laufen ausschließlich mit Leserechten auf chmod 444

configuration.php
index.php
index2.php
aministrator/index.php
templates/mustermann/index.php

bei mir mit 400

Vielleicht ließe sich ja mit auto_prepend_file etwas sinnvolles anstellen.

"Hier können Sie den Pfad zu einer Datei angeben, die automatisch vor der Hauptdatei aufgerufen wird. Die Datei wird hierbei in die aufgerufene Datei eingebettet, als wenn sie mittels der include() Funktion eingebunden wäre. Ein eventuell gesetzter include_path wird hierbei beachtet".

Meine schaut momentan so aus:

PHP-Code:

<?php 
/* 
Sicherheitsüberprüfungen, die vor jedem Aufruf aufgerufen wird
*/
require_once('configuration.php');

// checken, ob $mosConfig_absolute_path auf eigenem Server liegt und nicht durch einen Hack entführt wurde
if( is_dir( $mosConfig_absolute_path ) == false ){
    echo 'illegal mosConfig_absolute_path';
    die;
} 

?>

Zusätzlich will ich noch 'nen Cronjob bauen, der alle x Minuten überprüft, ob auch mein Text angezeigt wird und nicht ein untergeschobener. Wenn doch, dann kopiert er eine neue index.html ("Wartungsarbeiten") in's Verzeichnis.

Zitat von koenig.ludwig

bei mir mit 400

Danke, ich setze die Werte bei mir mal um.

hm... also 444 geht bei mir leider nicht... wegen dem wwwrun....

sollte man jetzt so einen code in jede php-datei einbauen??
oder bei welchen macht es sinn?? also config.php und so???

und welchen code??? den mit dem absolutenserverpfad oder doch den anderen???

vielleicht kann ja mal einer der mehr ahnung hat wie ich eine anleitung schreiben, wie ma ein joomla sicher macht.. den administrator ordner hab ich schon mal per htacces (oder wie das heisst) geschützt....

beste grüße floxworld

Diesen Artikel hatte ich ins Heise Forum gesetzt, den ich auch hier noch einmal veröffentliche:

htaccess, um zukünftige Exploit Angriffe gegen 3 Party Komponenten abzuwehren
J.Rohn, Jürgen Rohn

Joomla selbst ist recht sicher.

Gefährlich sind:

1. lausig geschriebene Drittkomponenten,
2. gemeingefährliche Einstellungen in der php.ini durch den Hoster
3. sowie bescheuerte chmod Einstellungen durch den Anwender.

Daher:

zu 2.
register_globals Off und allow_url_fopen Off
safe mode On oder PHP als suPHP

zu 3.
nie chmod 777. Allgemein so wenig Rechte, wie nötig. Ordner 755,
Files 644
config.php und index.php chmod 444. Ohne Schreibrechte kein
Defacement, da regelmässig die index Dateien überschrieben werden.
Adminordner per htaccess und Passwort schützen.

zu 1. per .htaccess und mod_rewrite

------------------------------------------------------------------

## Can be commented out if causes errors, see notes above.
Options FollowSymLinks

#
# mod_rewrite in use

RewriteEngine On

########## Begin - Rewrite rules to block out some common exploits
#
# Block out any script trying to set a mosConfig value through the
URL
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|\%3D) [OR]
# Block out any script trying to base64_encode crap to send via URL
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [OR]
# Block out any script that includes a <script> tag in URL
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
# Block out any script trying to set a PHP GLOBALS variable via URL
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
# Block out any script trying to modify a _REQUEST variable via URL
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2}) [OR]
# Block out any script that tries to set CONFIG_EXT (com_extcal2
issue)
RewriteCond %{QUERY_STRING} CONFIG_EXT(\[|\%20|\%5B).*= [NC,OR]
# Block out any script that tries to set sbp or sb_authorname via URL
(simpleboard)
RewriteCond %{QUERY_STRING} sbp(=|\%20|\%3D) [OR]
RewriteCond %{QUERY_STRING} sb_authorname(=|\%20|\%3D)
# Send all blocked request to homepage with 403 Forbidden error!
RewriteRule ^(.*)$ index.php [F,L]
#
########## End - Rewrite rules to block out some common exploits

----------------------------------------------------------------
Der Angreifer sieht eine 403 Fehlermeldung.

siehe auch dazu:

http://forum.joomla.org/index.php/topic,75376.0.html
http://forum.joomla.org/index.php/to....html#msg38869
6

Für Referrer Spam Bots am Beispielbegriff "******" :

order deny,allow
deny from env=spammer

SetEnvIfNoCase Referer ****** spammer=yes

Quelle: hier

@haltrust
schöne zusammenfassung. Werd ich mir zu herzen nehmen.
Danke