.htaccess: Unterschied zwischen den Versionen

Aus Hostsharing Wiki
Zur Navigation springen Zur Suche springen
(Eigenen Ip Adresse anders)
 
(6 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 7: Zeile 7:
== Einstellen von MIME-Typen ==
== Einstellen von MIME-Typen ==


# Download von Zertifikaten ermöglichen:
<syntaxhighlight lang=apache line>
AddType application/x-x509-ca-cert .crt
# Download von Zertifikaten ermöglichen:
 
AddType application/x-x509-ca-cert .crt
</syntaxhighlight>


== Einstellen des im HTTP Header angegebenen Zeichensatzes ==
== Einstellen des im HTTP Header angegebenen Zeichensatzes ==


für .html Dateien:
für .html Dateien:
AddCharset UTF-8 .html
<syntaxhighlight lang=apache line>
AddCharset UTF-8 .html
# oder
 
AddDefaultCharset UTF-8
# oder
AddDefaultCharset UTF-8
</syntaxhighlight>


(für PHP Skripte siehe [[PHP]] )
(für PHP Skripte siehe [[PHP]] )
Zeile 23: Zeile 26:
== Einstellen von Datei Handlern ==
== Einstellen von Datei Handlern ==


AddType application/x-httpd-phpcgi .php  
<syntaxhighlight lang=apache line>
Action application/x-httpd-phpcgi /fastcgi-bin/phpstub
AddType application/x-httpd-phpcgi .php  
Action application/x-httpd-phpcgi /fastcgi-bin/phpstub
</syntaxhighlight>


==Passwortschutz für Dateien==
==Passwortschutz für Dateien==
Zeile 32: Zeile 37:
Zunächst wollen wir den Zugriff auf ein Unterverzeichnis unserer Beispiel-Domain per .htaccess einschränken. Dazu legen wir zunächst eine Passwort-Datei an. Am einfachsten lässt sich diese spezielle Passwort-Datei in einer Shell anlegen. Wir legen sie in das etc-Verzeichnis der Domain:
Zunächst wollen wir den Zugriff auf ein Unterverzeichnis unserer Beispiel-Domain per .htaccess einschränken. Dazu legen wir zunächst eine Passwort-Datei an. Am einfachsten lässt sich diese spezielle Passwort-Datei in einer Shell anlegen. Wir legen sie in das etc-Verzeichnis der Domain:


  xyz00-doms@hopi$ cd ~/doms/example.com/etc
<syntaxhighlight lang=bash>
  xyz00-doms@hopi$ htpasswd -c .htpasswd peter
xyz00-doms@hopi$ cd ~/doms/example.com/etc
  New password: *****
xyz00-doms@hopi$ htpasswd -c .htpasswd peter
  Re-type new password: *****
New password: *****
  xyz00-doms@hopi$
Re-type new password: *****
xyz00-doms@hopi$
</syntaxhighlight>


Beim ersten User, hier peter wird das Programm htpasswd mit der Option -c (create) aufgerufen, aber auch wirklich nur beim ersten mal, da sonst die Datei .htpasswd neu erzeugt werden würde und vorherige Einträge damit gelöscht wären.
Beim ersten User, hier peter wird das Programm htpasswd mit der Option -c (create) aufgerufen, aber auch wirklich nur beim ersten mal, da sonst die Datei .htpasswd neu erzeugt werden würde und vorherige Einträge damit gelöscht wären.
Zeile 42: Zeile 49:
Sollte es beim Versuch, die Datei anzulegen, zu der Fehlermeldung kommando htpasswd nicht bekannt kommen, dann müssen wir zunächst den Befehl lokalisieren und mit dem richtigen Pfad neu aufrufen:
Sollte es beim Versuch, die Datei anzulegen, zu der Fehlermeldung kommando htpasswd nicht bekannt kommen, dann müssen wir zunächst den Befehl lokalisieren und mit dem richtigen Pfad neu aufrufen:


  xyz00-doms@hopi$ locate htpasswd
<syntaxhighlight lang=bash>
  /usr/sbin/htpasswd
xyz00-doms@hopi$ locate htpasswd
  xyz00-doms@hopi$ /usr/sbin/htpasswd -c .htpasswd peter
/usr/sbin/htpasswd
xyz00-doms@hopi$ /usr/sbin/htpasswd -c .htpasswd peter
</syntaxhighlight>


Beim zweiten User erfolgt der Aufruf dann ohne die Option -c:
Beim zweiten User erfolgt der Aufruf dann ohne die Option -c:


  xyz00-doms@hopi$ htpasswd .htpasswd petra
<syntaxhighlight lang=bash>
  New password: *****
xyz00-doms@hopi$ htpasswd .htpasswd petra
  Re-type new password: *****
New password: *****
  xyz00-doms@hopi$
Re-type new password: *****
xyz00-doms@hopi$
</syntaxhighlight>


Die Sternchen * stehen selbstverständlich für das jeweilige Passwort, welches dem User zugeordnet werden soll.
Die Sternchen * stehen selbstverständlich für das jeweilige Passwort, welches dem User zugeordnet werden soll.
Zeile 60: Zeile 71:
Die so angelegte Passwort-Datei kann nun von einer oder mehreren .htaccess-Dateien verwendet werden. Dazu begeben wir uns in das zu schützende Verzeichnis und legen dort eine Datei .htaccess an. Dies kann wieder per Upload oder in einer Shell geschehen. Die Datei kann beispielsweise so aussehen:
Die so angelegte Passwort-Datei kann nun von einer oder mehreren .htaccess-Dateien verwendet werden. Dazu begeben wir uns in das zu schützende Verzeichnis und legen dort eine Datei .htaccess an. Dies kann wieder per Upload oder in einer Shell geschehen. Die Datei kann beispielsweise so aussehen:


  order allow,deny
<syntaxhighlight lang=apache line>
  allow from all
order allow,deny
  require valid-user
allow from all
  Authname "Privater Bereich, bitte Anmelden."
require valid-user
  Authtype Basic
Authname "Privater Bereich, bitte Anmelden."
  AuthUserFile /home/doms/example.com/etc/.htpasswd
Authtype Basic
AuthUserFile /home/doms/example.com/etc/.htpasswd
</syntaxhighlight>


Dabei verweist die letzte Zeile auf die von uns angelegte .htpasswd Datei. Zu beachten ist:
Dabei verweist die letzte Zeile auf die von uns angelegte .htpasswd Datei. Zu beachten ist:
Zeile 80: Zeile 93:
== Redirects ==
== Redirects ==


Redirect permanent / http://www.example.com/
<syntaxhighlight lang=apache line>
 
Redirect permanent / http://www.example.com/
</syntaxhighlight>


== Rewrite Rules ==
== Rewrite Rules ==


RewriteEngine On
<syntaxhighlight lang=apache line>
RewriteRule ^mailman/(.*)$      /cgi-bin/mailman/$1
RewriteEngine On
 
RewriteRule ^mailman/(.*)$      /cgi-bin/mailman/$1
</syntaxhighlight>


== Nur SSL erlauben und automatisch umschalten ==
== Nur SSL erlauben und automatisch umschalten ==
Zeile 93: Zeile 108:
Bei per Symlink zusammengeschalteten Verzeichnissen, kann dies für die Verzeichnisse auf die nur per SSL zugegriffen werden soll, wie folgt erreicht werden:
Bei per Symlink zusammengeschalteten Verzeichnissen, kann dies für die Verzeichnisse auf die nur per SSL zugegriffen werden soll, wie folgt erreicht werden:


# SSL so fordern, dass ggf. Basic Auth nur einmal innerhalb von SSL abgefragt wird.
<syntaxhighlight lang=apache line>
#
# SSL so fordern, dass ggf. Basic Auth nur einmal innerhalb von SSL abgefragt wird.
#SSLOptions +StrictRequire  #Bei HS festgelegt.
#
SSLRequireSSL
#SSLOptions +StrictRequire  #Bei HS festgelegt.
ErrorDocument 403 https://xyz00.hostsharing.net/https/URL/mit/entspechendem/Ziel/Verzeichnis
SSLRequireSSL
ErrorDocument 403 https://xyz00.hostsharing.net/https/URL/mit/entspechendem/Ziel/Verzeichnis
</syntaxhighlight>


In diesem Beispiel wird auf eine xyz00 Domain umgeleitet für die das HS Zertifikat gilt. Liegen die Seiten nicht dort ist die entprechende URL des Speicherortes mit https:// anzugegeben.
In diesem Beispiel wird auf eine xyz00 Domain umgeleitet für die das HS Zertifikat gilt. Liegen die Seiten nicht dort ist die entprechende URL des Speicherortes mit https:// anzugegeben.
Zeile 104: Zeile 121:


Beispiel:
Beispiel:
Redirect permanent / https://www.example.org/
<syntaxhighlight lang=apache line>
Redirect permanent / https://www.example.org/
</syntaxhighlight>


Um alle http Requests nach https weiter zu leiten:
Um alle http Requests nach https weiter zu leiten:


RewriteEngine On
<syntaxhighlight lang=apache line>
RewriteCond %{SERVER_PORT} !=443
RewriteEngine On
RewriteRule .* https://%{HTTP_HOST}:443%{REQUEST_URI} [QSA,R=permanent,L]
RewriteCond %{SERVER_PORT} !=443
 
RewriteRule .* https://%{HTTP_HOST}:443%{REQUEST_URI} [QSA,R=permanent,L]
</syntaxhighlight>


==Verzeichnislisting ausschalten==
==Verzeichnislisting ausschalten==
Zeile 118: Zeile 138:


Die Einstellung
Die Einstellung
IndexIgnore *  
<syntaxhighlight lang=apache line>
IndexIgnore *  
</syntaxhighlight>
sorgt dafür, dass alle Datein Unterhalb des Speicherortes der .htaccess Datei für das Verzeichnislisting ignoriert werden.
sorgt dafür, dass alle Datein Unterhalb des Speicherortes der .htaccess Datei für das Verzeichnislisting ignoriert werden.


Zeile 125: Zeile 147:
== Ausnahme die eigene IP-Adresse ==
== Ausnahme die eigene IP-Adresse ==


Zum Testen willst du möglicherweise auf ein anderes Backend zugreifen, als es die normalen Webseiten-Besucherinnen tun. Du kannst die eigene IP-Adresse aös "RewriteCond" verwenden:
Zum Testen willst du möglicherweise auf ein anderes Backend zugreifen, als es die normalen Webseiten-Besucherinnen tun. Du kannst die eigene IP-Adresse als "RewriteCond" verwenden:


  DirectoryIndex disabled
<syntaxhighlight lang=apache line>
  RewriteEngine On
DirectoryIndex disabled
  RewriteBase /
RewriteEngine On
  RewriteCond %{REQUEST_FILENAME} !-f
RewriteBase /
  RewriteCond %{REQUEST_FILENAME} !-l
RewriteCond %{REQUEST_FILENAME} !-f
  RewriteCond %{REMOTE_ADDR} !=62.27.244.230
RewriteCond %{REQUEST_FILENAME} !-l
  RewriteRule ^(.*) ajp://hsh02.hostsharing.net:8009/$1 [proxy,last]
RewriteCond %{REMOTE_ADDR} !=62.27.244.230
 
RewriteRule ^(.*) ajp://hsh02.hostsharing.net:8009/$1 [proxy,last]
  RewriteRule ^(.*) ajp://127.0.0.1:34380/$1 [proxy,last]
   
   
RewriteRule ^(.*) ajp://127.0.0.1:34380/$1 [proxy,last]
</syntaxhighlight>
== Bestimmte Clients blockieren ==
Jeder Web-Browser gibt sich mit einer Kennung zu erkennen. Auch Bots sollten sich mit einer bestimmten Kennung zu erkennen geben. Diese Kennung wird ersichtlich, wenn Du die web.log Datei durchsuchst (siehe [[Traffic]]). Damit ist es möglich, bestimmte Clients oder Bots auszuschließen.
Hier im Beispiel werden der SemrushBot, der MJ12bot, und der AI Bot Claude von Anthropic ausgeschlossen:
<syntaxhighlight lang=apache line>
RewriteEngine On
RewriteBase /
RewriteCond %{HTTP_USER_AGENT} ^.*SemrushBot.*$ [OR]
RewriteCond %{HTTP_USER_AGENT} ^.*MJ12bot.*$ [OR]
RewriteCond %{HTTP_USER_AGENT} ^.*ClaudeBot.*$ [OR]
RewriteCond %{HTTP_USER_AGENT} ^$
RewriteRule ^.* - [F,L]
</syntaxhighlight>
Siehe auch https://stackoverflow.com/a/35775449/1632368
== Bestimmte Verzeichnisse nicht ausliefern ==
zum Beispiel das .git Verzeichnis sollte nicht gezeigt werden:
<syntaxhighlight lang=apache line>
RedirectMatch 404 /\.git
</syntaxhighlight>
Oder wenn Wordpress für alle URLs mit HTTP Code 200 die Startseite anzeigt, denken manche Angreifer, es läuft ein mailman.
<syntaxhighlight lang=apache line>
RedirectMatch 404 /mailman/
</syntaxhighlight>


== Gesperrte Optionen ==
== Gesperrte Optionen ==

Aktuelle Version vom 31. Juli 2024, 07:12 Uhr

Mit .htaccess Dateien innerhalb der Dokument-Verzeichnisse einer Domain (möglichst in ~/doms/example.com/.htaccess oder gezielt in Unterverzeichnissen subs/www ect. ), können Einstellungen des Apache Webservers konfiguriert werden.

Zum Beispiel kann angegeben werden, welches Apache-Modul für bestimmte Dateien (oder bestimmte Datei-Endungen) benutzt werden soll, wohin Dokumente verschoben worden sind, oder auch, wer Zugriff auf die Dateien hat.


Einstellen von MIME-Typen

# Download von Zertifikaten ermöglichen:
AddType application/x-x509-ca-cert .crt

Einstellen des im HTTP Header angegebenen Zeichensatzes

für .html Dateien:

AddCharset UTF-8 .html

# oder
AddDefaultCharset UTF-8

(für PHP Skripte siehe PHP )

Einstellen von Datei Handlern

AddType application/x-httpd-phpcgi .php 
Action application/x-httpd-phpcgi /fastcgi-bin/phpstub

Passwortschutz für Dateien

Achtung: Sofern der Zugriff http Zugriff auf die Dateien nicht automatisch auf https:// bzw. SSL umgeleitet wird, können die Passwörter unverschlüsselt übertragen werden!

Zunächst wollen wir den Zugriff auf ein Unterverzeichnis unserer Beispiel-Domain per .htaccess einschränken. Dazu legen wir zunächst eine Passwort-Datei an. Am einfachsten lässt sich diese spezielle Passwort-Datei in einer Shell anlegen. Wir legen sie in das etc-Verzeichnis der Domain:

xyz00-doms@hopi$ cd ~/doms/example.com/etc
xyz00-doms@hopi$ htpasswd -c .htpasswd peter
New password: *****
Re-type new password: *****
xyz00-doms@hopi$

Beim ersten User, hier peter wird das Programm htpasswd mit der Option -c (create) aufgerufen, aber auch wirklich nur beim ersten mal, da sonst die Datei .htpasswd neu erzeugt werden würde und vorherige Einträge damit gelöscht wären.

Sollte es beim Versuch, die Datei anzulegen, zu der Fehlermeldung kommando htpasswd nicht bekannt kommen, dann müssen wir zunächst den Befehl lokalisieren und mit dem richtigen Pfad neu aufrufen:

xyz00-doms@hopi$ locate htpasswd
/usr/sbin/htpasswd
xyz00-doms@hopi$ /usr/sbin/htpasswd -c .htpasswd peter

Beim zweiten User erfolgt der Aufruf dann ohne die Option -c:

xyz00-doms@hopi$ htpasswd .htpasswd petra
New password: *****
Re-type new password: *****
xyz00-doms@hopi$

Die Sternchen * stehen selbstverständlich für das jeweilige Passwort, welches dem User zugeordnet werden soll.

Diese Datei könnten wir auch einfach mit scp/pscp oder FTP hochladen, dabei stellt sich dann jedoch die Frage, wie wir sie erzeugen. Auf den meisten Windows-Systemen dürfte kein htpasswd-Kommando verfügbar sein. Für diese Fälle gibt es eine online-Version z.b.: https://de.functions-online.com/crypt.html die Ausgabe einfach mit Copy&Paste in eine Datei kopieren und diese hochladen.

Die so angelegte Passwort-Datei kann nun von einer oder mehreren .htaccess-Dateien verwendet werden. Dazu begeben wir uns in das zu schützende Verzeichnis und legen dort eine Datei .htaccess an. Dies kann wieder per Upload oder in einer Shell geschehen. Die Datei kann beispielsweise so aussehen:

order allow,deny
allow from all
require valid-user
Authname "Privater Bereich, bitte Anmelden."
Authtype Basic
AuthUserFile /home/doms/example.com/etc/.htpasswd

Dabei verweist die letzte Zeile auf die von uns angelegte .htpasswd Datei. Zu beachten ist:

  • Das die Pfadangabe absolut erfolgt, um einen "Internal Server Error" zu vermeiden.
  • Falls die Datei innerhalb des Dokumenten Verzeichnisses liegen muss, sie auf jeden Fall .htpasswd heißt, damit sie vom Webserver nicht herausgegeben wird.
  • Die .htaccess Datei in den Paketdomains innerhalb des web/ bzw. web-ssl/ Verzeichnisses liegen muss, damit kein "Internal Server Error" auftritt.

Passwortschutz von CGI- und PHP-Anwendungen

Mit dem beschriebenen Mechanismus können selbstverständlich auch PHP-Skripte und CGI-Anwendungen vor unberechtigten Zugriffen geschützt werden. In dem geschützten Skript kann über die Umgebungsvariable REDIRECT_REMOTE_USER der Benutzername des Benutzers abgefragt werden, der sich angemeldet hat.

In PHP-Skripten kann mit Hilfe der automatisch global sichtbaren Variablen $_ENV auf die Umgebungsvariablen zugegriffen werden. Um die Variable REDIRECT_REMOTE_USER zu lesen, schreibt man also $_ENV['REDIRECT_REMOTE_USER'].

Redirects

Redirect permanent / http://www.example.com/

Rewrite Rules

RewriteEngine On
RewriteRule ^mailman/(.*)$      /cgi-bin/mailman/$1

Nur SSL erlauben und automatisch umschalten

Bei per Symlink zusammengeschalteten Verzeichnissen, kann dies für die Verzeichnisse auf die nur per SSL zugegriffen werden soll, wie folgt erreicht werden:

# SSL so fordern, dass ggf. Basic Auth nur einmal innerhalb von SSL abgefragt wird.
#
#SSLOptions +StrictRequire  #Bei HS festgelegt.
SSLRequireSSL
ErrorDocument 403 https://xyz00.hostsharing.net/https/URL/mit/entspechendem/Ziel/Verzeichnis

In diesem Beispiel wird auf eine xyz00 Domain umgeleitet für die das HS Zertifikat gilt. Liegen die Seiten nicht dort ist die entprechende URL des Speicherortes mit https:// anzugegeben.

Bei separaten Verzeichnissen für ssl und nicht-ssl kann auch ein permanenter Redirekt gelegt werden.

Beispiel:

Redirect permanent / https://www.example.org/

Um alle http Requests nach https weiter zu leiten:

RewriteEngine On
RewriteCond %{SERVER_PORT} !=443
RewriteRule .* https://%{HTTP_HOST}:443%{REQUEST_URI} [QSA,R=permanent,L]

Verzeichnislisting ausschalten

Ruft ein Nutzer ein Verzeichnis auf, z.B. www.example.com/verzeichnis, so wird normalerweise die sich darin befindliche index.html als Standard aufgerufen. Gibt es diese Datei nicht, wird der Inhalt des Verzeichnisses gelistet. Das kann ein Sicherheitsproblem sein.

Die Einstellung

IndexIgnore *

sorgt dafür, dass alle Datein Unterhalb des Speicherortes der .htaccess Datei für das Verzeichnislisting ignoriert werden.

Hinweis: Das Listen der Verzeichnisse kann auch schon auf Dateisystemebene durch ändern der Verzeichnisrechte (o-r) unterbunden werden, wodurch auch lokale User berücksichtigt werden.

Ausnahme die eigene IP-Adresse

Zum Testen willst du möglicherweise auf ein anderes Backend zugreifen, als es die normalen Webseiten-Besucherinnen tun. Du kannst die eigene IP-Adresse als "RewriteCond" verwenden:

DirectoryIndex disabled
RewriteEngine On
RewriteBase /
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-l
RewriteCond %{REMOTE_ADDR} !=62.27.244.230
RewriteRule ^(.*) ajp://hsh02.hostsharing.net:8009/$1 [proxy,last]
 
RewriteRule ^(.*) ajp://127.0.0.1:34380/$1 [proxy,last]

Bestimmte Clients blockieren

Jeder Web-Browser gibt sich mit einer Kennung zu erkennen. Auch Bots sollten sich mit einer bestimmten Kennung zu erkennen geben. Diese Kennung wird ersichtlich, wenn Du die web.log Datei durchsuchst (siehe Traffic). Damit ist es möglich, bestimmte Clients oder Bots auszuschließen.

Hier im Beispiel werden der SemrushBot, der MJ12bot, und der AI Bot Claude von Anthropic ausgeschlossen:

RewriteEngine On
RewriteBase /
RewriteCond %{HTTP_USER_AGENT} ^.*SemrushBot.*$ [OR]
RewriteCond %{HTTP_USER_AGENT} ^.*MJ12bot.*$ [OR]
RewriteCond %{HTTP_USER_AGENT} ^.*ClaudeBot.*$ [OR]
RewriteCond %{HTTP_USER_AGENT} ^$
RewriteRule ^.* - [F,L]

Siehe auch https://stackoverflow.com/a/35775449/1632368

Bestimmte Verzeichnisse nicht ausliefern

zum Beispiel das .git Verzeichnis sollte nicht gezeigt werden:

RedirectMatch 404 /\.git

Oder wenn Wordpress für alle URLs mit HTTP Code 200 die Startseite anzeigt, denken manche Angreifer, es läuft ein mailman.

RedirectMatch 404 /mailman/

Gesperrte Optionen

Einstellungen, die es ermöglichen würden, über den Webserver Rechte anderer User zu erhalten, sind nicht erlaubt. --