Wie lege ich meine 1. Webseite an ?

Nachdem Sie unter ISPConfig eine Webseite und einen FTP-Zugang eingerichtet haben benötigen Sie noch einen Editor.
Sie können hier jeden beliebigen Editor oder eine Textverarbeitung wie z.B. Word oder was auch immer nehmen.

Ein sehr guter Editor ist z. B.   Brackets  von Adobe.

In diesem Beispiel verwenden wir Notepad++

Der große Vorteil von Notepad++ ist, dass hier bereits ein FTP-Client integriert ist - Sie können also direkt und live auf Ihrem Server arbeiten und das Ergebnis sofort "sehen".

Einfach mal nach "Notepad++ download" google'n oder direkt von der Homepage   also hier downloaden

Jetzt bitte per "close" speichern und auf das 1. Icon (Connect) klicken. Wählen Sie jetzt die gerade angelegte FTP-Verbindung aus.

Jetzt sind Sie mit Ihrem Server bzw. Webseite verbunden.

Klicken Sie jetzt mit der rechten Maustaste auf den Ordner "web" und wählen "Create new file" und geben als Dateiname:

test.html

an.
Jetzt sehen Sie im web-Ordner die besagte Datei - einfach per Doppelklick im Editor öffnen. Tragen Sie jetzt folgenden Text ein (so wie im folgenden Bild):

Hier können Sie die test.html auch als zip-Datei downloaden

Hier wird die Datei test.html direkt im Browser angezeigt
Wenn die text.html im Browser angezeigt wird einfach rechte Maustaste / Seitenquelltext anzeigen / und den Text markieren und kopieren (je nach verwendetem Browser kann der Menüpunkt auch leicht abweichen).

Hier noch ein wichtiger Hinweis:

Grundsätzlich sollten Sie alle HTML- und PHP-Dateien in der Kodierung "UTF-8 ohne BOM" und mit dem Format "Zeilenende UNIX" speichern.

Bei Notepad++ können Sie dies unter dem Menüpunkt "Kodierung" und "Bearbeiten / Format Zeilenende" konfigurieren.

Besonders beliebte Angriffsziele der Hacker u. Spammer sind wie üblich die am meist verbreitesten Systeme. Wobei hier sicherlich die CMS Systeme die 1. Plätze belegen, dicht gefolgt von den beliebtesten Foren u. Boards.

Platz 1 für diverse Angriffe ist wohl das beliebte Wordpress dicht gefolgt von Joomla.

Einer der häufigsten Gründe ist hier wohl der SPAM-Mail Versand.

Wie ist ein SPAM-Mail Versand über mein WEB oder über mein Postfach überhaupt möglich ?

Hierzu gibt es prinzipiell 2 Möglichkeiten.

1. Direkt über das Postfach

Hierzu benötigt der "Spammer/Hacker" jedoch die Zugangsdaten. Stellt sich die nächste Frage woher bekommt der "Hacker" die Zugangsdaten. Auch hier gibt es prinzipiell wieder 2 Möglichkeiten:

1a. Die Zugangsdaten wurde ausgespäht durch Viren, Trojaner etc. direkt vom PC des Webmasters oder vom Handy, Tablet, Blackberry, Spielconsole, Smart TV was auch immer oder wo auch immer die Zugangsdaten hinterlegt sind oder ein Mailclient mit den entsprechenden Zugangsdaten eingerichtet wurde ...

1b. Der Hacker hat das Passwort durch einen BRUTE Force Angriff erthalten (siehe unten)

2. Direkt über eine Webanwendung (also eine unsichere Webseite)

Die beliebtesten Angriffsziele sind hier Formular, Gästebuch, Forum ... (was auch immer oder womit auch immer ein Mailversand möglich ist). Wenn der Webmaster jetzt nicht seiner Sorgpfallspflicht nachkommt und dies nicht entsprechend absichert (Capcha), regelmäßig updatet und/oder bereits bekannte Sicherheitslücken NICHT mit den entsprechenden Patches schließt, ist dies jetzt ein leichtes Spiel für jeden Hacker/Spammer ...

Der SPAM-Versand erfolgt dann direkt über die unsichere WEB-Anwendung. Diese wiederum versendet die SPAM-Mails dann direkt über das vom Webmaster hinterlegte Postfach ... oder noch schlimmer direkt über die entsprechenden serverseitigen Befehle (sendmail, mail und/oder PHP-Befehle).

Verwenden Sie keinesfalls die serverseitigen Mailbefehle – hierüber würden Sie einen eventuellen SPAM-Versand über Ihre Webseite ja nicht Mals bemerken!!!

Praktisch alle bekannten CMS Systeme, eShops, Foren u. Boards verwenden den PHP-Mailer. Hier können bzw. müssen Sie den SMTP-Versand verwenden – nur so erhalten Sie überhaupt die Möglichkeit einer Überwachung aller über Ihre Website versendeten Mails.
Beim SMTP-Versand müssen Sie die Zugangsdaten zu Ihrem Postfach angeben.
Nur hierbei erfolgt der Mailversand über ein Postfach das Sie entsprechend kontrollieren u. überwachen können.

Hier haben Sie 2. Möglichkeiten

2a. Geben Sie hier eins Ihrer externen Postfächer an (gmx, T-Online, outlook.de) was auch immer. Hierbei überlassen Sie dann die SPAM-Behandlung direkt dem jeweiligem Anbieter!
Stellen Sie Ihr Postfach so ein das Sie über jede versendetet Mail automatisch eine Kopie erhalten – nur so sind Sie immer auf dem Laufenden.

2b. Über Ihr Postfach auf Ihrem eigenen Server.
Hier müssen Sie jetzt selbst Ihre SPAM-Filter etc. konfigurieren. WICHTIG auch hier müssen Sie Ihr Postfach so einstellen das Sie automatisch über jede versendetet Mail eine Kopie erhalten.

Dies sind die minimalsten Ansätze – so das Sie zu überhaupt erst einmal mitbekommen was Ihre Website überhaupt an Mails versendet.

Keinesfalls sollten Sie die serverseitigen Mailfunktionen verwenden - hierbei haben Sie keinerlei Kontrolle über die von Ihrer Website versendeten Mails - das wäre dann die dümmste Lösung.


3. Beispiel Wordpress

Speziell zu Wordpress sind Templates im Umlauf deren einziges Ziel es ist eine hohe Verbreitung und die damit verbundene Infektion möglichst vieler Wordpress Installationen. Teilweise werden diese erst ein halbes Jahr nach der Installation (Infektion) aktiv. Hier werden z.B. ausführbare PHP-Dateien als Template Dateien getarnt (falsche Dateikennung). Zusätzlich werden hier weitere Administrator-Accounts eingerichtet so das selbst nach einer Beseitigung der infizierten Dateien das Problem NICHT behoben ist !
Für detaillierte und aktuelle Infos bitte einmal Googeln -> hier 2 Beispiele:

www.heise.de/security/meldung/Schadcode-nutzt-Monate-alte-WordPress-Luecke-aus-2498327.html

www.heise.de/security/meldung/Sicherheitsluecke-in-vielen-WordPress-Themes-2390055.html

Oder hier einmal ein Beispiel von SemperVideo über eine eBay Fishingseite (direkt über ein gehacktes Wordpress):




4. Beispiel Joomla

Bei den Joomla Version kleiner 2.5 wurde der Support bereits vor Jahren eingestellt. Danach wurden dann noch als "BESONDERS Kritisch" eingestufte Sicherheitslücken behoben !!! Man beachte bitte das original Zitat "besonders Kritisch". Was dies bedeutet muss wohl nicht näher erläutert werden. Google'n Sie doch bitte einmal nach "Joomla Sicherheitslücken Kritisch"

Die "großen" Hosting-Provider (z.B. Hosteurope, United Internet (1und1, Strato ...) haben bereits begonnen Joomla Installationen kleiner 2.5 wegen gravierender Sicherheitslücken zu sperren.

Beachten Sie bitte - ein Webmaster der Joomla Versionen kleiner 2.5 einsetzt (auch wenn er bis dato alle Sicherheitspatches und Updates installiert hat) handelt fahrlässig und dürfte somit rechtlich für alle hierdurch entstandenen Schäden Schadensersatzpflichtig sein. Bedenken Sie bitte das diese Schäden, insbesondere bei Fishing-Seiten, erheblich sein können.

Dies gilt natürlich nicht nur für das beliebte Joomla sondern grundsätzlich für alle älteren nicht mehr supporteten Version wie z.B. Typo, Magento, Wordpress. OSCommerce usw. usw. ...

Wie kann ich mich hiervor schützen

1. keinesfalls die serverseitige Mailfunktion verwenden - hierüber haben Sie keine Kontrolle über die von Ihrer Website versendeten Mails
2. Deaktivieren Sie keine serverseitigen Sicherheitsfeatures
3. Prüfen Sie ob es für Ihre Webanwendungen bereits bekannte Schwachstellen gibt
4. Höchste Vorsicht ist bei allen Anwendungen nötig, die Mails versenden oder Datenbankeinträge vornehmen - wie z.B. Gästebücher, Formulare, Blocks, Foren usw. Diese müssen entsprechend abgesichert sein - ansonsten handelt der Webmaster grob fahrlässig und ist rechtlich mitverantwortlich für entstehende Schäden. Und diese Schäden können gewaltig sein (hier sind nicht die Abmahnungen dubioser Anwaltskanzleien gemeint - sondern die Schäden die z.B. durch diverse Fishingmails, Werbung für Kinderporn.... Inhalte usw. entstehen können).

Passwortsicherheit

Hierzu einmal ein Wiki-Auszug mit den wichtigsten Infos:
Als Brute-Force Attacke bezeichnet man das Berechnen oder umgangssprachlich ?Knacken? von Passwörtern. Oft sind Passwörter mit Hilfe von kryptographischen Hashfunktionen verschlüsselt. Eine direkte Berechnung des Passworts aus dem Hashwert ist praktisch nicht möglich. Ein Cracker kann jedoch die Hashwerte vieler Passwörter berechnen. Stimmt ein Wert mit dem Wert des hinterlegten Passwortes überein, hat er das (oder ein passendes) Passwort gefunden. Brute Force bedeutet hier also simples Ausprobieren von möglichen Passwörtern. Vordefinierte Hashlisten häufig verwendeter Passwörter nennt man Rainbow Table. Aus dem oben genannten Zusammenhang zwischen Umfang des Problems und benötigten Rechenoperationen lässt sich für das Beispiel des ?Passwortknackens? der Schluss ziehen, dass mit steigender Passwortlänge oder steigender Anzahl an möglicherweise im Passwort vorhandenen Zeichen (Alphabet ohne Zahlen, mit Zahlen, mit Sonderzeichen) der Aufwand der Brute-Force-Methode schnell ansteigt. Die Methode ist in der Praxis häufig erfolgreich, da die meisten Benutzer kurze und einfache, damit unsichere, Passwörter verwenden. Schon auf einem handelsüblichen Mittelklasse-Computer können etwa 50 bis 100 Millionen Passwörter pro Sekunde ausprobiert werden.

Wird die Anzahl der auszuprobierenden Passwörter durch Reduktion der Möglichkeiten auf Einträge aus einem ?Wörterbuch? (bzw. Zusammensetzungen derer) eingeschränkt, spricht man auch von einem Wörterbuchangriff (engl. dictionary attack).

Das bedeute also das der gesamte Duden in verschiedenen Kombinationen und Wortzusammenstellungen somit bereits nach wenigen Sekunden abgearbeitet wäre ... Der Duden in Kombination mit diversen Datumsangaben braucht dann auch nicht sehr viel länger. Alle Vornamen, Kosenamen und Tiernamen brauchen nicht viel mehr als 1 Sekunde. Etwas länger dann in Verbindung mit Datumsangaben ...

Ein sicheres Passwort nicht hoch genug einzustufen.

Wie also kann ich die Sicherheit meines Passwortes stark erhöhen.
Die einfachste Lösung wäre:
Möglichst lang und in Kombination von Groß- u. Kleinbuchstaben, Ziffern und Sonderzeichen und keinesfalls Begriffe die in Wörterbüchern enthalten sind und auf gar keinen Fall Namen (auch nicht in diversen Kombination).

Weiterhin sollten auch keinesfalls sogenannte "Tastaturkombinationen" verwendet werden.
Tippen Sie bitte einmal: 1qayxsw2 ein - dann wissen Sie was gemeint ist.

Hier einmal ein interessantes Video (wie einfach es doch ist ein E-Mail Account zu hacken ...).
Obwohl diese Video schon etwas älter ist, ist es immer noch brandaktuell.



Bei selbst programmierter Software sollte folgendes beachtet werden:

Aufgrund der schnell steigenden Rechenleistung heutiger Rechner können bei der Brute Force Attacke zunehmend mehr Möglichkeiten pro Zeiteinheit durchprobiert werden. Somit sind immer längere Passwörter oder solche aus einer größeren Vielzahl an verwendeten Zeichen für einen ausreichenden Schutz gegen die Brute-Force-Methode erforderlich.
Gegenmaßnahmen beinhalten unter anderem die Verwendung von Key-Stretching oder Salts. Beim Key-Stretching wird durch wiederholte Iteration eines Hashes (PBKDF2) oder durch komplizierte Vorbereitungsmaßnahmen für die Ausführung eines Algorithmus (bcrypt) die Rechenzeit zur Berechnung des finalen Hashwertes vergrößert oder durch intensiven Speichergebrauch die Ausführung auf schnellen ASICs oder FPGAs, die beide nur über vernachlässigbaren Speicher verfügen, verhindert (scrypt[1]). Der Salt, der mit dem Passwort konkateniert wird dient dazu, die Erstellung von Rainbow-Tables durch Vergrößerung des Urbildbereichs zu verhindern. Der Schlüssel wird also durch gewisse Methoden ?gestreckt?, sodass ein Passwort mit Key-Stretching mit geringerer Komplexität dennoch rechenäquivalent zu einem komplexeren Passwort ohne Key-Stretching ist.

Wichtig ist ein Verzeichnisschutz grundsätzlich bei allen Web-Systemen mit sogenannten Administrator- bzw. Konfigurationszugängen beispielsweise bei allen CMS –Systemen wie z.B. Joomla, Wordpress, Typo, Magento etc. und natürlich auch bei allen eShop-Systemen, Foren usw. usw.

Als Beispiel sei hier einmal Joomla und Wordpress genannt. Der Administratorzugang liegt im Ordner administrator im web-Verzeichnis also:

web/administrator

(basierend auf Ihrem FTP-Rootzugang)

Beachten Sie bitte das nur das "web" Verzeichnis per Browser erreichbar ist

Einen Verzeichnisschutz legen Sie folgendermaßen an. Loggen Sie sich hierzu unter ISPConfig ein:

Klicken Sie auf „Webseiten“ dann links im Menü auf „Geschütze Ordner“ und Ordner hinzufügen

Wählen Sie die gewünschte Webseite und bei Pfad geben Sie:

/administrator

Dann bitte links im Menü „Geschütze Ordner Benutzer“  wählen. Bei Ordner wählen Sie jetzt den gerade angelegten Ordner aus. In diesem Beispiel also

name_ der_webseite/administrator

Dann bitte bei Benutzername den gewünschten Benutzername und das gewünschte Passwort angeben – das war es schon. 

Wichtig:

Keinesfalls sollten bei Benutzernamen die Vorgaben wie z.B. admi, root, administrator etc. verwenden. Diese sind weltweit bekannt. Wenn Sie diese also verwenden haben Sie direkt 50% Ihres Zugang-Schutzes leichtfertig geopfert.

Verwenden Sie zwingend eigene Usernamen und diese sollten Sie zusätzlich auch mit Groß-Kleinschreibung und Ziffern kombinieren

Gleiches gilt für Passwörter - wenn Sie mindestens 15 Stellen verwenden sind Sie hier auf der sicheren Seite.

Dass Sie niemals identische Passwörter verwenden dürfen ist sicher selbsterklärend.

Wenn dann beispielsweise Ihr Passwort für den Joomla-Administratorzugang gehackt wurde, so wird sicher als erstes getestet ob dieses Passwort nicht auch auf die Datenbank, den FTP-Zugang oder Ihr E-Mailkonto passt … oder noch schlimmer direkt auf den Konfigurationszugang Ihres Servers …


Schauen Sie bitte auch einmal in unser FTP Video-Tutorial unter:

https://www.youtube.com/channel/UCr5TG_vpmBILhwJEYoVRvnQ/videos?shelf_id=0&view=0&sort=dd

Ab etwa der 6 Minute gibt es diesbezüglich wichtige Infos.

Weitergehende Infos unter:

https://fair4host.de/php-apache

Menüpunkt: php_display_error ON

Allgemeine Infos bezüglich langsamer FTP Up- und Download

Vermutlich handelt es sich hier um "viele" kleine Dateien und das Uploaden per FTP dauert "ewig".
Eine Typo3, WordPress oder Joomla Installation und/oder Wiederherstellung dauert alleine durch das Hochladen per FTP schon teilweise Stunden.
Dies ist prinzipiell kein Problem des Servers - die Ursachen hierfür sind:


1. Mit FTP wird pro Datei eine separate Verbindung verwendet und das dauert bei vielen kleinen Dateien stunden (hierbei ist nicht die Größe der Dateien maßgeblich sondern allein die Anzahl).
Ein größeres CMS kommt schon auf mehrere 1.000 einzelne Dateien wovon die meisten dann oftmals nicht größer als 10 Kilobyte sind.
Der Upload von wenigen hundert MB kann dann schon STUNDEN dauern - wie gesagt hierbei ist nicht die Größe der einzelnen Dateien maßgeblich sondern allein die Anzahl.


2. Nach jedem FTP-Upload einer einzelnen Datei wird überprüft, ob der Transfer erfolgreich durchgeführt wurde. Der FTP-Server sendet somit nach jeder übertragenen Datei den jeweiligen Übertragungsstatus zurück.
Bei vielen kleinen Dateien "drückt" allein dies die Transfergeschwindigkeit auf wenige Prozent der verfügbaren Bandbreite.
Dies lässt sich ganz einfach mit einer einzelnen großen Datei testen bzw. nachvollziehen. Hierzu einmal test-weise einmal alle Dateien in ein ZIP-File packen und diese ZIP-Datei uploaden. Tritt jetzt das gleiche Problem auf ?


3. Noch größer wird das Problem dann, wenn sich in dem jeweiligen Upload-Verzeichnis bereits "VIELE" Dateien befinden.
Zu dem Problem (siehe Nr. 2) kommt dann noch hinzu, dass nach jedem Upload zusätzlich noch das gesamte Verzeichnis neu eingelesen wird ...

Befinden sich bereits sehr viele Dateien in dem Uploadverzeichnis kann es hier zu Timeout-Problemen kommen.
Wie gesagt - hierbei handelt es sich nicht um eine Serverproblem.


Und wie kann man nun Tausende kleine Dateien "blitzschnell" hochladen?

Hier gibt es diverse Möglichkeiten spezieller FTP-Programme. Diese arbeiten alle nach dem gleichen Prinzip. Die Daten werden vorher in eine einzelne Datei gepackt (zip, gzip etc.) so das dann nur eine einzige Datei upgeloadet wird - dies wird dann nach dem upload auf dem Server wieder entpackt - einfach einmal googeln. Einen Support hierfür können wir allerdings nicht leisten.

Für die Installation eines einzelnen CMS etc. lohnt sich der Aufwand/Kosten vermutlich nicht.
Wie gesagt einfach einmal googel'n ...

Meine Website wurde gehackt und versendet jetzt SPAM ...

Hierbei handelt es sich um das Anzeigen des Ordnerinhaltes, wenn keine Autostartdatei (also index.html, index.php etc.) vorhanden ist.

Das DirectoryBrowsing ist standardmäßig deaktiviert da dies ein erhebliches Sicherheitrisiko darstellt.

Falls dies in machen Fällen dennoch erwünscht ist lässt sich dies leicht aktivieren.

Legen Sie eine Datei mit dem Namen .htaccess in ihrem www-Ordner (\web) ab oder bearbeiten Sie eine bereits vorhandene .htaccess Datei in diesem Verzeichnis.
Erstellen bzw. erweitern Sie Ihre .htaccess Datei mit dem folgendem Inhalt, um das DirectoryBrowsing zu aktivieren:

Options +Indexes

Wir möchten nochmals darauf hinweisen das das pauschale aktivieren des Directory Listings ein erhebliches Sicherheitsrisiko darstellen kann.

Warum sollten Sie keinesfalls E-Mails weiterleiten

Wenn Ihre E-Mailadresse dann schon länger existiert und mittlerweile vielen SPAM-Mailern bekannt ist, werden Sie somit vermutlich auch extrem viele SPAM-Mails erhalten.
Wenn Sie diese dann alle pauschal weiterleiten, sind Probleme vorprogrammiert.

Hier kann es dann schnell vorkommen das Sie selbst als SPAM-Versender deklariert werden (teilweise reicht hierzu auch schon die Anzahl der weitergeleiteten Mails aus).
Hier werden dann nicht nur weitergeleitete SPAM-Mails abgewiesen sondern grundsätzlich ALLE Mails - wenn Sie einmal als SPAM-Versender klassifiziert wurden.

In diesem SPAM-Zusammenhang sind auch sogenannte Wildcard E-Mailadressen "tödlich".
Hier erhalten Sie dann jede SPAM-Mail nicht nur einmal - sondern Hunderte Mal.
Bei nur 100 SPAM-Mails kommt hier schon eine beachtliche Zahl zusammen. Wenn Sie dann auch noch alle Mails pauschal weiterleiten, dann könnten Sie in kürzester Zeit selbst als Spam-Mailer klassifiziert werden.
Dann können Sie über kurz oder lang keine Mails mehr versenden da dann ALLE Ihre Mails angewiesen werden.

FAZIT:

Keinesfalls sollten Sie Weiterleitungen einrichten. Die einfachste und sicherste Lösung ist hier ganz einfach.

    1. Falls noch nicht geschehen - richten Sie ein Postfach ein.
    2. Diese Postfach holen Sie dann per POP Abruf (oder IMAP) von Ihrem Web, GMX, Google, Telekom, Hotmail (was auch immer) E-Mailkonto ab.

Da in diesem Falle keine Mails versendet werden - gibt es auch keine Probleme das Sie als SPAM-Versender klassifiziert werden und das Problem ist gelöst.