Plesk mit .htaccess zusätzlich schützen

[satriani]

Hallo,

der Titel sagt schon alles
So, dass die neugierige erst gar nicht zum Login kommen.

Gruß Alex.

 

[NacKteOmA]

Hier kannst du dir die dafür erforderlichen Daten erstellen lassen -> eKiwi - Alles für den Webmaster, kostenlose Banner, Flash, Buttons und vieles mehr

Die dadurch generierten Daten einfach in eine leere Datei kopieren und diese Datei dann .htaccess benennen und in den Ordner schieben der geschützt werden soll.

Ich denke dies bringt allerdings wenig, wenn ich mich erinnere kann man die Loginmaske die durch die htaccess Datei erstellt wird, sehr leicht knackbar ist. Wenn wirklich jemand auf dein Plesk möchte so schützt ein gutes PW in Plesk dann deutlich mehr als die htaccess Datei.

 

[dev]

wenn ich mich erinnere kann man die Loginmaske die durch die htaccess Datei erstellt wird, sehr leicht knackbar ist.

Quelle?

Der htaccess-Schutz via "Require Valid User" ist so sicher wie das Passwort des selbigen. Nehme ich für htaccess und Plesk verschiedene harte Passworte, erhöht sich die Zeit zum 'bruteforcen' erheblich.

 

[NacKteOmA]

Quelle?!... keine Ahnung.

Ich hab vor recht langer Zeit mal gelesen 1-2 Jahre. Vllt. war das aber auch eine ältere oder alternativ methode dazu.

 

[satriani]

oh... sorry, ich sehe gerade ich habe mich nicht deutlich ausgedrückt.
danke NacKteOmA für die Antwort, aber es geht mir nicht darum wie ich die .htaccess erstelle, sondern wo genau muss die hin?
Bei meinem SUSE 10.3 habe ich die .htaccess im /usr/local/psa/admin/htdocs erstellt, doch es scheint irgendwie nicht zu funktionieren

Das muss nicht unbedingt ein Passwortschutz sein, ich möchte es zum abblocken nutzen, mit RewriteCond %{HTTP_USER_AGENT} und deny from

Gruß Alex.

 

[Whistler]

Hier versuchen's die Scriptkiddies alle mit Brute Force.
Wenn es einen Exploit gibt, hat der sich noch nicht sehr weit herumgesprochen...

 

[dev]

Gibt also keinen

Ansonsten schöne Grüsse an die Kids von Onkel Fail2Ban

 

[satriani]

die ganzen Fail2ban und mod_security ect. verbrauchen Ressourcen, es soll erst gar nicht dazu kommen, dass fail2ban usw. ausgeführt werden muss.
Dafür ist .htaccess sehr von nutzen, so bleiben die Kidis schön beim 403

 

[NacKteOmA]

Genau Fail2Ban hilft immer gut =)

Port ändern könnte auch für abhilfe schaffen.

 

[satriani]

Port ändern hat auch seine Nachteile, z.B. Kaspersky streikt zu updaten.
Aber wir kommen hier von dem eigentlichen Thema ab.
Also, weiss jemand wo genau die .htaccess hin muss?

Gruß Alex.

 

[dev]

die ganzen Fail2ban und mod_security ect. verbrauchen Ressourcen,

Plesk auch. Und wenn Du das nicht benutzen würdest, müsstest Du auch nichts extra schützen. Eine Klappe = 2 Fliegen

Fail2Ban sind übrigens ca. 60 MB, die RAMseitig verbraucht werden.

 

[satriani]

weiß keiner?

 

[Huschi]

Ich fasse mal meine Meinung zusammen:
Ob man mod_evasive, mod_security oder mod_auth zusätzlich laufen lässt: alles kostet Performance.
Eine .htaccess gehört natürlich ins DocumentRoot. Also /usr/local/psa/admin/htdocs/.
Aber damit sie eingelesen wird, muss dem (richtigen!) Webserver auch gesagt werden, dass es diese lesen soll. Dazu muss dann auch das passende Auth-Modul installiert sein.
Plesk 8 läuft unter einem minimalen Apache 1.3. Mit Plesk 9 kommt ein Lighttpd getarnt als "sw-cp-serverd" daher.

@satriani
Und das ist alles kein Grund hier unnötig zu puschen.

@dev
Zum Ram-Verbrauch sei gesagt, dass fail2ban auch mit weniger auskommen kann.

huschi.

 

[satriani]

Hey huschi,

es freut mich sehr, dass du dich hier meldest und dazu noch mit nützlicher Information, was anderes habe ich von dir nicht erwartet .
Ich frage mich nur, hätte ich lieber noch warten müssen bis einer sich hier meldet der auch Ahnung hat, oder hat mein unnötiger push dich hierher gerufen
Nur schade, dass es mir eine Verwarnung gekostet hat

Dazu muss dann auch das passende Auth-Modul installiert sein.

Wie installiere ich es?

edit: also ich habe die httpsd.conf im Verzeichnis /usr/local/psa/admin/conf/ geöffnet

#AccessFileName .htaccess

<Files .htaccess>
Order allow,deny
Deny from all
</Files>

also die Raute entfernt, gespeichert, hoch geladen, kein Erfolg

Danke im Voraus.

Gruß Alex.

 

[Huschi]

oder hat mein unnötiger push dich hierher gerufen

Definitiv nein. Ich lese dann hier im Forum wenn ich Zeit habe. Dieser Thread wäre mir heute zwangsweise über den Weg gelaufen.

Nur schade, dass es mir eine Verwarnung gekostet hat

Und das nächste Mal kann so ein Thread auch einfach geschlossen werden. Dann kann keiner mehr Antworten. Das bringt es dann voll, oder?

also die Raute entfernt, gespeichert, hoch geladen, kein Erfolg

Dann war es wohl nicht die richtige Direktive, oder?
AllowOverride muss gesetzt werden, damit überhaupt .htaccess überhaupt ausgelesen wird. Und wie der Nave "Override" schon sagt: .htaccess ist nur eine zusätzliche Config-Datei. Warum also eine Direktive dort rein schreiben, wenn man es auch direkt in die richtige Config packen kann?

huschi.

 

[satriani]

Warum also eine Direktive dort rein schreiben, wenn man es auch direkt in die richtige Config packen kann?

OK, logisch.

Aber der Eintrag:

<Directory "/usr/local/psa/admin/htdocs">
    AllowOverride None
    Options None
    Order allow,deny
    Allow from 123.45.67.89
</Directory>

in die httpsd.conf bringt auch irgendwie nicht den Erfolg.
Oder habe ich was falsch verstanden?

 

[satriani]

Ok

OK ich habs, für die diejenigen die Interesse haben:
im Verzeichnis /usr/local/psa/admin/conf/ die httpsd.conf öffnen, Zeilen 347 bis 351, AllowOverride von None auf All setzen.

<Directory />
#    SSLRequireSSL ## disabled for allowing http redirect to https by 400 Error (Bad Request see bug #25466)
    Options FollowSymLinks
    AllowOverride [COLOR="Red"]All[/COLOR]
</Directory>

WICHTIG: danach den Apache von Plesk neustarten

/etc/init.d/psa restart

Jetzt kann man die .htaccess im Docverzeichnis von Plesk

/usr/local/psa/admin/htdocs

erstellen und beliebig anpassen (mit zusätzlichen Passwort schützen oder Unbefugte abblocken etc.)

Der Beitrag kann geschlossen werden

Gruß Alex

 

[Whistler]

Wenn man die httpsd.conf sowieso editiert, kann man auch das "Limit GET" direkt da reinschreiben. So umgeht man Sicherheitslücken, bei denen ein Angreifer eine .htaccess-Datei ändert oder löscht. Zudem würde ich allenfalls "AllowOverride AuthConfig" und nicht gleich "All" schreiben.

 

[satriani]

Danke für den Tipp Whistler,

Wenn man die httpsd.conf sowieso editiert, kann man auch das "Limit GET" direkt da reinschreiben.

wenn du schon den Tipp gibst, könntest du auch das ganze mal Schritt für Schritt erklären?

Danke im Voraus.

Gruß Alex.

 

[satriani]

OK, ich mache das für dich.

In die oben erwähnte httpsd.conf folgendes eintragen.

<Directory /usr/local/psa/admin/htdocs>
    AllowOverride FileInfo AuthConfig Limit
    Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
    <Limit GET POST OPTIONS PROPFIND>
        Order allow,deny
        Allow from 12.34.56.78
    </Limit>
    <LimitExcept GET POST OPTIONS PROPFIND>
        Order deny,allow
        Deny from all
    </LimitExcept>
</Directory>

Apache von Plesk unbedingt restarten !

die .htaccess im Docverzeichnis von Plesk braucht nicht erstellt zu werden.

Zudem würde ich allenfalls "AllowOverride AuthConfig" und nicht gleich "All" schreiben.

Das AuthConfig verursacht "500 Internal Server Error" warum auch immer.

Gruß Alex.