Hallo zusammen,

ich habe gerade ein wenig mit dem Mirror-tool wget gespielt. Dabei ist mir aufgefallen, dass es damit möglich ist, auch htaccess und config-Dateien zu spiegeln. Das hat mich ein wenig bestürzt. Ist es so doch möglich, Passwörter etc. auszulesen. Wie kann ich sensible Dateien vor solchen tools schützen?

grüsse
flupsi

[robo47]

zeig mir mal wie du an meine .htaccess unter www.robo47.net rankommst

wget -dv http://www.robo47.net/.htaccess
DEBUG output created by Wget 1.5.3.1 on Windows.

parseurl ("http://www.robo47.net/.htaccess") -> host www.robo47.net -> opath .ht
access -> dir  -> file .htaccess -> ndir
--12:16:55--  http://www.robo47.net:80/.htaccess
           => `.htaccess'
Connecting to www.robo47.net:80... Created fd 1944.
connected!
---request begin---
GET /.htaccess HTTP/1.0
User-Agent: Wget/1.5.3.1
Host: www.robo47.net:80
Accept: */*

---request end---
HTTP request sent, awaiting response... HTTP/1.1 403 Forbidden
Date: Sat, 01 Apr 2006 11:16:27 GMT
Server: Apache/1.3.34 (Unix) PHP/5.1.2
Connection: close
Content-Type: text/html; charset=iso-8859-1


Closing fd 1944
12:16:55 ERROR 403: Forbidden.

im endeffekt kommt man an eine htaccess nur ran wenn der webserver falsch konfiguriert ist und zugriffe von ausserhalb für diese datei erlaubt.

AccessFileName .htaccess
<Files ~ "^\.ht">
    Order allow,deny
    Deny from all
    Satisfy All
</Files>

das sollte in der apache-conf drinstehen

und an conf kommt man höchstens ran, wenn der apache mal vergisst wie er php interpretiert, deshalb sollten diese, nach möglichkeit, unterhalt des webroots liegen.

mfg
robo47

Das ist mir jetzt ein wenig peinlich...
Ich habe meine Seite per wget geladen. Bin dann in das Verzechnis gegangen und hatte alle meine Dateien, so wie sie auf dem Server liegen, vor mir. --> Ich war im falschen Ordner ;-(
Naja, ich habe einen riesen Schreck bekommen, weil ich dachte, jeder könne meine Scripte komplett herunterladen...

Dieser thread kann gelöscht werden, oder zur allgemeinen Belustigung stehen bleiben
grüsse
flupsi

[robo47]

ich bin für allgemeine belustigung

nach dem posten kam mir schon der gedanke eines misslungenen 1.april scherzes ...
wie ich den tag hasse

[Jann Hendrik]

ok - dann noch ein allgemeines haha



Der Thread wurde geschlossen, wegen ...
... auf Wunsch des Threaderöffners / der Threaderöffnerin