ein Hacker kommt über nen 777 er rein,
Sorry, aber das ist Quatsch mit Soße... Über eine Dateiberechtigung kommt man nirgends rein !?
Die sagt nur aus, wer lesen, schreiben, bearbeiten darf. Im Fall von 777 eben jeder, der Zugriff auf die Datei hat. Und den Zugriff muss man erst mal haben. Entweder ein schlechtes Script, ein unsicherer Dienst oder was auch immer. Aber da bräuchte man dann noch nicht einmal 777, denn der Apache hat ja eh auf vieles Zugriffsrechte. Kurz gesagt: Dateiberechtigungen sagen nur, was man machen darf,
nachdem man beireits Zugriff auf den Server / die Files hat.
777 wird nur dann interessant, wenn man z.B. Zugänge von unprivilisierten Usern hat, die dann eben durch das 777 Rechte bekommen. Oder eben Files, die normalerweise nur root gehören und der normale FTP-User damit dann entsprechende Rechte bekommt. Auch hier müsste man dann die FTP-Daten verlieren und schon hat derjenige Zugriff auf den Server per FTP und eben auf das File, da 777.
Viele Dateien und Ordner haben 777 und das brauchen die oft auch. Wenn der Rest aber abgesichert ist, dann ist das kein Problem. Wenn man erst gar nicht zur Datei kommt, dann ist es auch egal, welche Berechtigungen diese hat oder hätte.
Möglich wäre z.b., dass eine Datei 777 hat und ein Script diese beschreibt. Greift man nun das Script an, so kann man über das Script die Datei verändern. Schuld ist dann aber das Script. Denn auch ohne 777 hat im normalfall der Apache www-run ausreichend Rechte um zu ändern.
Lösungen? Viele. Alle Kennwörter ändern... Eigenes Script auf Fehler suchen... FTP-Dienst ändern / wechseln, vor allem von ProFTP. Besser noch SFTP nutzen und FTP komplett entfernen. Alle anderen Dienste prüfen / updaten etc... Eben das normale und volle Programm.
Wenn es ein eigener Server ist, dass für alle Dienste ein chroot laufen lassen, so dass diese nicht andere Bereiche ändern / einsehen können. Sprich, ein gehäckter FTP hat dann nur die Webdaten, kann aber nicht wo anders hin. Ein gehackter Mail ist nur in der Mailbox, kommt da aber auch nicht weg etc.
P.S. Ich finde eigene Entwicklungen besser als diese OpenSource... Zwar muss man da selbst für sorgen, dass die "sauber" sind, aber man ist nicht gleich Teil der breiten Masse, wenn mal wieder eine Sicherheitslücke bekannt wird. So gut wie keiner greift einfach so auf Verdacht ein eigenes System an, er weiß ja nicht wo und wie. Bei den ganzen OpenSource hat er den Code, kann ihn sich ansehen und bekommt auch noch Sicherheitslücken frei Haus gemeldet.
Und selbst das eigene Script ist es noch nicht, so lange das nicht Dateien verändert. Das muss schon Schreiben irgendwo, so wie WP bei der htaccess oder im wp_content Ordner eben. Wenn es so was gibt, dann eben sicherstellen, dass nur das geändert werden kann, was geändert werden soll und es eben auch nur der darf, der dafür gedacht ist.
Welches File wurde denn überhaupt geändert? Was wurde geändert?
