Plugin Dateiaustausch

Kann es sein das Hacker dieses Plugin aushebeln können. Ich habe in den letzten Monaten vermehrt Meldungen gehabt das Dateien hochgeladen wurden aber keine erkannt. Heute habe ich meine Webseite zum wiederholten Male gelöscht und das Plugin jetzt komplett entfernt. Lade sie gerade neu hoch.

Die Mail bekomme ich dann immer:

Ein Besucher Ihrer Website hat eine die Datei up.php.jpg hochgeladen.

Na ja, das Wort "Hacker" ist da schon etwas weitlaeufig. Ein kleines Computer-Genie kann da schon einigen Schaden anrichten, jedoch in diesem Fall vermute ich einmal, dass da ein paar Script-Kiddies versuchen, eine ausfuehrbare Datei hochzuladen (wie z. B. eine PHP-Datei) um eventuell etwas auf deinem Server zu pflanzen.

Meistens nennen die einenfach eine PHP-Datei in JPG (oder andere erlaubte Formate) um. Dies funktioniert dann aber im Anschluss sowieso nicht da die Datei nicht aus dem temporaeren Ordner deines Servers in dein Web-Verzeichnis kopiert wird - dein Server checkt den Filetype und / oder Meta-Daten der hochgeladenen Dateien und wenn die Datei-Endung nicht damit uebereinstimmt, dann wird sie nicht kopiert (obwohl, dies haengt von den Sicherheits-Einstellungen deines Providers ab. Da die Dateien ja nicht auf deinem Webserver liegen, denke ich aber mal dass das perfekt eingestellt ist). Wie auch immer, fuer das Upload-Skript war der Upload erfolgreich und somit wird eine Email an dich versandt.

Selbst wenn eine umbenannte PHP-Datei ihren Weg auf deinen Server machen wuerde, braeuchte da schon jemand Root Access, um die Datei dann wieder in PHP umzubenennen.

Falls dir das integrierte Fileupload-Skript jedoch zu unsicher erscheint, dann kannst Du dich ja nach einer mehr professionellen Loesung umschauen. Es gibt unzaehlige Skripte dafuer.

Vielen Dank für deine Antwort. Ich habe jetzt erstmal das Plugin entfernt, da es auch inzwischen unnütz ist.

@Tumulus, deine Aussage ist leider nicht richtig. ein Apache Server führt eine Datei wo eine Endung .php vorkommt aus.

Hier ein simples Beispiel.

http://www.rs-studio.at/test.php.gif

@Robert:

Ausserdem hab ich es nur sehr allgemein beschrieben um Merlin zu erklaeren, warum er keine hochgeladenen Dateien findet.

Uebrigens, wenn dein Web Hoster dir erlaubt, Dateien mit GIF-Endung als PHP auszufuehren, dann ist da schon gehoerig etwas faul und du solltest dir schnell einen neuen Anbieter suchen! Oder trickst Du hier einfach nur mit ner .htaccess und ner rewrite condition? Auf unseren 14 Servern funktioniert das naemlich nirgendwo! 

Probiere es auf deinen Server aus, es ist einfach so.

VG Robert

Neh, ist nicht "einfach" so! Habe mir gerade mal die Zeit genommen, die Sicherheit auf einem unserer Server etwas runterzuschrauben. Das Resultat schaut dann so aus, dass die umbenannte PHP Datei als plain text ausgegeben wird. Es wird also kein Code ausgefuehrt und nichts wird geparsed, nicht einmal standart HTML. Und dies setzt dann auch voraus, dass die Datei erst einmal ins root-Verzeichnis gelangt. Da sind dann noch einmal ein paar Hindernisse zu ueberwinden.

Gefahren-Level: 0