Apache XAMPP Server wirklich so unsicher?

M

Moppel1291

0
Also ich habe schon seit einiger zeit meinen webserver am laufen.. mit chat, bildergallerie, music streams etc.

eigentlich ist es egal wenn ein hacker da drauf kommt, weil das nur mein alter ist.. den benutze ich kaum.. aber ist dass denn wirklich so, dass wen der server läuft, der pc offen wie ein scheunentor ist??
 
Mit den Default-Einstellungen ist XAMPP tatsächlich sehr unsicher. Das hat verschiedenste Ursachen:

1. Es sind viele Sachen im Server aktiviert, die nicht genutzt werden und die per Default Angriffspunkte bieten, wie z.B. experimentelle Apache-Module, CGI-Möglichkeiten, HTTP-Trace und -Track sind aktiviert u.a. Das alles ordentlich zu überwachen ist fast unmöglich und man muss den Server erstmal ordentlich abspecken damit er einigermassen sicher ist, was ein enormer Aufwand ist.
2. Der Server hat keinerlei Prozesslimits. Eine (D)DoS-Attacke auf einen XAMPP führt daher meist zu Erfolg, wenn nicht noch eine sehr gute Firewall vorgeschaltet ist.
3. Die wenigsten XAMPP-User aktualisieren ihren XAMPP regelmässig, da der Aufwand dafür recht gross ist. Händisch angepasste Konfigurationen werden bei Updates einfach überschrieben und müssen danach also wieder eingespielt werden, Services müssen nach einem Update erneut deaktiviert werden u.a.
4. Die Entwickler von XAMPP achten selbst nicht sonderlich auf Sicherheit und entsprechend lange lassen sicherheitskritische Patches auf sich warten.

Weitere Kleinigkeiten liessen sich aufzählen, aber die genannten 4 Punkte dürften die Hauptkriterien sein, warum kein Admin, der ein wenig Grips im Kopf hat jemals einen XAMPP im Live-Betrieb einsetzen würde. XAMPP ist dafür gedacht, dass ein Entwickler lokal auf seinem Rechner Sachen testen kann, aber nicht für den Live-Betrieb. Darauf wird in irgendeiner Readme-Datei auch hingewiesen.
 
Und was ist für den Live-Betrieb besser geeignet? Ich schätze mal Apache2 und z. B. MySQL getrennt voneinander installieren, oder?
Ist bei XAMPP wirklich so viel zusätzliches Zeugs (außer das, das ja z. B. im "Control-Panel" erwähnt wird, wie z. B. Filezilla und Mercury)?

Gruß
Woosh
 
Besser geeignet ist einfach ein Webserver, bei dem nur die Sachen installiert werden, die tatsächlich genutzt werden. Je weniger Ballast ein Webserver mit sich rumführt umso weniger Angriffspunkte gibt es. Deswegen bieten die meisten Distros PHP und Apache ja in Module-Pakete unterteilt an.

Und ja, allein die Tatsache, dass XAMPP fast alle verfügbaren Apache-Module und selbiges für PHP mitinstalliert, zeigt schon, dass eine Menge unnötiges Zeug drin ist.

Und wie bereits gesagt, achten die XAMPP-Entwickler selbst nicht sonderlich auf Sicherheit, worauf sie auch selbst hinweisen.
 
noch ein punkt: Ein frisch installierter XAMPP Server hat ja nun in aller regel auch nen phpmyadmin mit dem Superuser sa drin. Dabei ist benutzername und Passwort als default sa: oder sa:sa oder sa:admin (Username:Password).
Wenn man soweit ist, kann man durch eine "Sicherheitslücke" in MySQL ansich eine PHP-Shell auf die Platte schreiben und dann da via Browser drauf. Ein bisschen rumfummeln und dann heist dein Server in der Szene "Str0" (Servers that are owned).

Und weil es so schön ist und diese Sicherheitslücke schon ewig gibt, gibt es inzwischen sogar Scanner mit denen du direkt nach einer dieser Passwortkombinationen einen iprange "durchtesten" kannst. Macht man vor allem inna FXP-Szene so.
Hat aber auch so seine Vorteile: du hast quasi dann immer die neuesten Filme auf deiner Kiste :P
 
mein Tipp:
Debian Linux als Server-Betriebssystem, Apache2, PHP5 (noch besser: PHP über fastcgi), MySQL5 drauf installieren und regelmäßig über apt-get update und apt-get upgrade das gesamte System aktuell halten.
 
Jo danke für die vielen antworten!!

Aber ein paar fragen habe ich noch..

im control panel des XAMPP servers gibts die funktion einen FTP server einzuschalten.. weiss jemand wie man die benutzer konfiguriert bzw. erstellt? im programmverzeichnis gibt es einen ordner namens anonymous.. genau in diesen ordner kann ich schauen, wenn ich mich als anonymer benutzer via ftp mit dem server verbinde.. nur wie kann man jetz mehrere benutzermit passwort anlegen?

und was macht eigentlich dieses mercury?? wofür brauch man das?


und noch eine frage^^ eigentlich habe ich den server nur aus einem grund erstellt.. ich wollte meine mp3 playlisten via RSS-Stream auf meine PSP (Playstation Portable) streamen... mit diesem php script, das dies ermöglicht, kann man durch den kompletten PC surfen (C:\ ; D:\ ; E:\ ; ...) gibt es auch ein dateimanager script dass dies kann?
 
Hi,

Mercury ist ein Mailserver!
Wenn du beispielsweise Mails per php Script verschicken willst brauchst du einen Mailserver

gruß
 
Original von Moppel1291im control panel des XAMPP servers gibts die funktion einen FTP server einzuschalten.. weiss jemand wie man die benutzer konfiguriert bzw. erstellt?
Zum Vergrößern anklicken....
Erstellt wurde er normalerweise schon bei der Installation. Normalerweise müsste da ein Button sein mit "Admin..." o. ä. Dort kannst du unter anderem auch Benutzer anlegen und verwalten :)

Original von Moppel1291und was macht eigentlich dieses mercury?? wofür brauch man das?
Zum Vergrößern anklicken....
Ein Mailserver. Vielleicht hilft dir das hier weiter: http://www.pmail32.de/mercury/index.htm

Liebe Grüße
Woosh

[EDIT: ] Da war ich wohl etwas zu langsam ^^
 
okay, für nen normalen privaten Server, wo nur eine Seite drauf läuft, ist fcgi vieleicht nicht unbedingt notwendig, vieleicht (zugegeben) sogar überflüssige Arbeit. (der Hinweis auf fast_cgi ist nur automatisch beim tippen so drin... :-) )

für mich persönlich ist fcgi echt ne feine Sache, weil ich damit jedem vHost seine eigene php.ini geben kann oder sogar verschiedene vHosts mit verschiedenen PHP-Versionen laufen lassen kann

genauere Infos:
http://www.rootforum.de/wiki/howto/php/mod_php_vs_php-cgi
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben