sischer oder net sischer ?!

[DrSoong]

Ich habe zwei Provider. Alturo und 1und1. Bei beiden kann man per KundenLogin Geschützte Verzeichnisse anlegen. D. h. die .htaccess wird dann von einem Tool eingetragen. Ist doch einfacher, oder?

[ghostgambler]

Original geschrieben von DrSoong
Ich habe zwei Provider. Alturo und 1und1. Bei beiden kann man per KundenLogin Geschützte Verzeichnisse anlegen. D. h. die .htaccess wird dann von einem Tool eingetragen. Ist doch einfacher, oder?

yep (war doch nicht ernst gemeint die Frage, oder?...naja, hab trotzdem geantwortet XD)
btw. ich würd ein Zufallspasswort nehmen...eigentlich (denke ich) meinte der Poster oben, ein
Deny all
darein zu packen, dann kann man gar nicht erst drauf zugreifen, aber ein 30 stelliges, zufallsgeneriertes Passwort sollte es auch tun

[goth]

Original geschrieben von Quetschi
Ich hab seid damals auch keinen solchen mehr passieren kann's trotzdem jedem, keiner würd den Zeitpunkt kennen wann's vielleicht passiert oder vielleicht sogar überhaupt ned mitbekommen das es passiert ist und man kann sich ja einigermaßen vor sowas schützen

Ja klar ... aber genauso wahrscheinlich ist es das plötzlich die .htaccess nicht mehr lesbar ist ... und somit der Zugriff auf die Datei trotzdem möglich ... zumindest, wenn gleichzeitig PHP-Dokumente im Quelltext ausgeliefert werden ...

... alles schon vorgekommen ... dumme Provider hat's schon immer gegeben ... (ich habe sogar mal gehört das ein ganz großer in Deutschland keine Datensicherung hatte und Millionen von Kunden tagelang nicht erreichbar waren ... Stratot oder so ähnlich hiess der damals ... ist aber OT) ...

... im übrigen ... der geschickte Provider limitiert den Zugriff auf die Datenbank ... entweder nur "localhost" ... oder nur Subnetz ... bis auf diese Trollprovider ... die MySQL 5 Datenbanken über's ganze Internet anbieten ... selig sind die einen Sniffer besitzen ... anyway ... somit wäre also der DB Zugriff wiedereinmal nur vom entsprechenden Host möglich ... der natürlich zunächst gehackt werden will ... es sei denn der Provider verwendet genanntes Kennwort auch gleich noch für den SSH/Telnet Zugang des Kunden ... dumm das ... !

[ghostgambler]

Original geschrieben von goth
... im übrigen ... der geschickte Provider limitiert den Zugriff auf die Datenbank ... entweder nur "localhost" ... oder nur Subnetz

würd ich nicht haben wollen...was ist denn, wenn ich mal von einem anderen Webspace meine Daten weiterbenutzen möchte, dann komm ich da nicht ran, ist ja doof...


Wer sich n bisschen anstrengt, bekommt das meißte sicher und sein Passwort sollte man natürlich auch nicht auf nen gelben Zettel schreiben und auf die Stirn tackern...noch n paar Backups, und der Kuchen ist im Ofen *zuck*

[mrhappiness]

Formulieren wir's anders:

Ein geschickter Provider hat den Zugriff auf die Dadtenbank standardmäßig auf localhost (oder ein Subnetz) limitiert.

Auf Drängen des Kunden, nach explizitem Hinweisen auf die dadurch entstehende deutlich größere Angriffsfläche und nach expliziter Erklärung des Kunden, sich dieses Risikos bewusst zu sein, schaltet er den Zugriff für einzelne Accounts auch über das komplette Internet frei.

Dann hat's der Provider recht ordentlich voreingestellt und wenn's später knallt, ist der Kunde schuld.

[Quetschi]

Der noch geschicktere Provider schaltet auf Kundenwunsch höchstens weitere IP-Adressen frei, nie aber alle Host's.

@goth
Jo, das mit dem .htaccess geschützten Verzeichnis war nur ein Vorschlag - wenn beim Provider möglich - dann vielleicht noch lieber in ein Verzeichnis legen dass außerhalb des document_root des Webservers liegt.