PHP Sichern einer PHP-WebApp über .htaccess?

[Dsimon24]

Guten Morgen zusammen,

ich informiere mich im Internet derzeit ein wenig in Bezug
auf das Absichern einer PHP-WebApp vor Hackerangriffen.

Jetzt habe ich gelesen, dass ein Sichern in Form eines Verzeichnisschutzes mittels einer .htaccess
ausreichen soll, um Hackern jegliche Wege zu versperren, um die App angreifen zu können.

Ist das so?
Vorausgesetzt man richtet den Verzeichnisschutz für den
Ordner ein, in diesem sich die WebApp auch befindet...

LG, David

 

[FranzvonAssisi]

Naja, bei einer richtigen Einstellung der htaccess kann man nicht dran vorbei durch direkte Zugriffe.

Url-Injection ist trotzdem noch möglich. Das heißt vor allem, man muss immer:
- alle möglichen Nutzereingaben überprüfen!

Dann sollte deine Webapp schon ziemlich sicher sein. Sichere Übertragung usw. kommt natürlich noch dazu, je nachdem, was du für eine App hast.

 

[Dsimon24]

Was genau ist denn URL-Injection? Ist es das gleiche wie Code-Injection? Oder sind das verschiedene Dinge?

Sorry, wenn ich so frage. Bin in diesem Bereich doch noch recht frisch und lerne das gerade alles ein wenig.

 

[AndrewPoison]

Das Filtern der Nutzer-Eingabe-Möglichkeiten ist natürlich ein wichtiger Punkt - und zwar im verarbeitenden Script, nicht auf der HTML-Seite die die Daten an das Script weiterleitet (diese lassen sich ja spielend umgehen).

Also nicht im Userinterace prüfen ob z.B. eine E-Mail-Adresse gültig ist (per JavaScript) und wenn es Bestanden wurde das ganze Zeug an das Script schicken (was dann keine Prüfungen mehr durchführt), sondern wirklich das ausführende PHP-Script entscheiden lassen - aber gründlich! Natürlich kannst du auch zusätzlich dein Interface überprüfen lassen ob die Daten Sinn ergeben, aber es sollte niemals die letzte Instanz sein. *Alle* Daten die vom Nutzer kommen sind *immer* als potentielle Gefahr anzusehen und auf alles zu prüfen.

Du kannst dir auch die ganzen Infos des BSI dazu mal durchlesen, exemplarisch z.B. das: https://www.bsi.bund.de/DE/Themen/I...utzKataloge/Inhalt/_content/m/m02/m02363.html

 

[FranzvonAssisi]

Url injection wäre z.B. In folgendem Möglich

index.php:

$file = $_GET["file"];
include $file;

Wenn du dann eine Datei eingeben würdest, die durch htaccess geschützt wird, würde sie trotzdem angezeigt, da sie serverseitig eingebunden wurde.

Lg, Franz

 

[r15ch13]

Weiteres zur PHP Sicherheit: http://www.phptherightway.com/#security