Pma

  • Guten Abend nochmal,
    ich habe nun PMA (PHPmyAdmin) zum laufen gebracht und möchte dies gleich entsprechend absichern


    1. Verzeichnis umbennen (vielleicht)
    2. htaccess


    2. Ich bin so vorgegangen:


    Hier http://www.fueralles.de/htaccess-generator.html habe ich mir den .htaccess Code und den Code für .htpasswd generiert. Dann habe ich IN/usr/share/phpmyadmin mit dem Editor "nano" 2 Dateien erstellt
    mit nano .htaccess und mit nano .htpasswd
    Jetzt die generierten Code-Schnipsel reinkopiert und abgespeichert.
    Wenn ich jedoch jetzt auf xx.xx.xxx/phpmyadmin gehe komme ich trotzdem einfach so zum Login und werde nicht nach einem Htaccess Login gefragt! :confused:
    Kann mir einer sagen, was ich falsch gemacht habe?
    Vielleicht die 2 Dateien falsch platziert?
    Oder einfach etwas bei den htaccess-Dateien falsch gemacht?


    Danke für eure Antworten und schönen Abend noch :)
    Gruß JanH

  • Wie gesagt: Ein Alias ist eine Sicherheitslücke, da danach regelmäßig gescannt wird.
    Und was Auths angeht: Es ist bereits eine Auth-Direktive gesetzt. Ich meine, dass Apache keine mehreren mag.

    Mein Server:
    v(olks)Server 1. Serie: 2,5GHz, 1024MB RAM, 1024MB Swap, 2x60GB-Raid1-HDD, Traffic-Flat
    Node:
    78.46.117.9x | hos-tr2.ex3k4.rz7.hetzner.de

  • ich würde einen eigenen vhost anlegen inkl subdomain, die nicht phpmyadmin heißt ;)


    absichern mit http-auth, aber nicht basic, sondern digest, da bei basic auth das passwort nur base64 codiert übermittelt wird.
    oder sonst über ssl (https)


    möglich wäre auch den vhost nur via https erreichbar zu machen, mmn scannen wird weniger via https gescannt als via http.

  • Alles klar. @ Stef-Mar :)
    Ja jetzt mal davon abgesehen wie ich das am Besten absichere... Bitte eine Antwort auf meine Frage. Jedoch vielen dank für eure Antworten. Mir ist die Methode mit htaccess eigendlich lieber da ich nicht weiß wie das funktioniert mit vHost usw. usw. Aber vielleicht ergibt sich noch etwas!


    Gruß JanH

  • Zitat

    auf mein Debian vServer

    Zitat

    da ich nicht weiß wie das funktioniert mit vHost usw. usw.

    Merkste was? Diese beiden Aussagen passen so gar nicht zusammen!

    Mein Server:
    v(olks)Server 1. Serie: 2,5GHz, 1024MB RAM, 1024MB Swap, 2x60GB-Raid1-HDD, Traffic-Flat
    Node:
    78.46.117.9x | hos-tr2.ex3k4.rz7.hetzner.de

  • ich hatte jetzt vor um mal wenigstens die Bots fernzuhalten den Ordner umzubenennen.


    Dazu wollte ich folgendes machen.


    In /var/www/ switchen
    dann mv /phpmyadmin /beispiel


    Nichts geht! Meldung: Datei oder Verzeichnis nicht gefunden :confused:

  • Zitat von JanH;25120


    In /var/www/ switchen
    dann mv /phpmyadmin /beispiel
    Nichts geht! Meldung: Datei oder Verzeichnis nicht gefunden


    Ist doch logisch. So wie du den mv Befehl aufrufst suchst du auch wieder im root-Verzeichnis nach PMA und willst es dort umbennen.


    Wie wärs mit:
    mv phpmyadmin beispiel
    oder
    mv /var/www/phpmyadmin /var/www/beispiel

  • Ein nett gemeinter Hinweis: Du dir einen Gefallen und besorge dir ein Buch über Linux (Server)-Basics. Einfach mal im Buchladen um die Ecke oder auch im gut ausgestatteten Onlinehandel nachschauen.


    [edit]nächster Absatz wurde richtiggestellt, Sorry für den Fehler[/edit]
    slukas: Bei Digest werden die Zugangsdaten nicht direkt ausgetauscht. Das ist allerdings schnuppe, weil sich ein Man-in-the-middle recht einfach einschalten kann. Wenn man um dem entgegenzuwirken allerdings alles über SSL absichert, ist's recht Wurst ob man nun Digest oder Basic nutzt.


    Ansonsten fassen wir mal für JanH zusammen:

    • SSL einsetzen
    • Zugriffsschutz (z.B. .htaccess)
    • phpmyadmin Verzeichnis umbenennen


    Zu 1) Das solltest du hinkriegen. AFAIK liefert Apache die passende Config gleich mit (siehe /etc/apache2/sites-available). Im Zweifelsfall hilft das Apache-Handbuch und Google.
    Zu 2) Du kannst mit einer Apache-Direktive das Überschreiben der Zugriffskontrollmechanismen unterbinden (AllowOverride None). Das ist standardmäßig auch aktiviert!
    Zu 3) Das solltest du auch noch schaffen... :(

  • Zitat von theDude;25124

    slukas: Bei Digest wird auch Base64 codiert, dafür werden die Zugangsdaten nicht direkt ausgetauscht. Was allerdings schnuppe ist, wenn sich ein Man-in-the-middle einschaltet. Wenn man allerdings alles über SSL absichert, ist's recht Wurst ob man digest oder basic nutzt.


    ich weiß zwar nicht, wo digest auth base64 codiert, aber wenn du meinst ;)


    was man in the middle angeht hast du natürlich recht, aber davor schützt https auch nicht zu 100%

  • also Verzeichnis will und will sich nicht umbennenen lassen.


    mv /phpmyadmin /vogel
    mv phpmyadmin/ vogel/


    Also ich habe zu erst versucht den Ordner wo PMA installiert ist umzubennenen was ja nicht ging und dann noch den Symlink!


    :confused::confused::confused::confused:

  • Zitat von JanH;25203

    mv /phpmyadmin /vogel


    Du liest die Beiträge hier aber schon, oder? Was daran falsch ist weiß übrigens sogar fast jeder Webspace User. Als vServer Inhaber und Administrator musst du das sowieso wissen :rolleyes:



    MfG Christian

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

  • Zitat von killerbees19;25209

    Du liest die Beiträge hier aber schon, oder? Was daran falsch ist weiß übrigens sogar fast jeder Webspace User. Als vServer Inhaber und Administrator musst du das sowieso wissen :rolleyes:


    Ich schließe mich an. Das sind Basics. Auch wenn ich es nicht mag, wenn man solche Kommentare von sich gibt: So etwas sollte man wissen! :eek:


    Du versuchst /phpmyadmin zu verschieben (also einen nicht existierenden phpmyadmin-Ordner im root-Verzeichnis). Das kann nicht klappen!


    BITTE tu dir einen gefallen und kauf dir ein gutes Buch. Tipp: ISBN 978-38266-1587-0 oder neuere Fassung 978-38266-5520-3. Ich habe nur die alte (Debian 4), die Basics sollten überall die selben sein.


    Außerdem solltest du sowas vielleicht Daheim auf einem alten PC oder in einer VMWare ausprobieren.

  • Zitat von JanH;25220

    sieht man mal wieder, dass nicht alles stimmt, was im Internet steht


    Befehle, die man irgendwo findet, sollte man auch nicht einfach blind abkopieren und ausführen... ;)



    MfG Christian

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

  • Zitat von killerbees19;25222

    Befehle, die man irgendwo findet, sollte man auch nicht einfach blind abkopieren und ausführen... ;)


    Ja. Man sollte wenigstens ungefähr wissen was man tut. Deswegen: Buch lesen! (gerne auch mehrere...)

  • Ja, dann habt ihr aber eine leicht falsche Vorstellung, wie ich das so handhabe ;)
    Ich schau nicht einfach nach Befehlen und kopiere diese ab sondern ich schau natürlich auch, was sie bewirken usw.


    Schaut doch einfach mal hier im Forum vorbei wegen dem Buch.


    Gruß
    JanH