Video vom WordPress Boot Camp [wpbc]
March 4, 2010 by lexxi · Leave a Comment
Achim hat es ja bereits von ein paar Tagen getwittert, dacht mir ich verlinke das Video auch hier mal
Thx 2 Achim!
Web Verzeichnis mit .htaccess schützen
March 3, 2010 by lexxi · 2 Comments
Ward ihr schon mal in der Situation, dass ihr ein Verzeichnis auf einem Webserver vor fremden Augen schützen wolltet? Wenn man zum Beispiel eine neue Webseite testen möchte oder einfach nur bestimmten Usern Zugriff auf bestimmte Seiten ermöglichen will kann man sich mit Hilfe der .htaccess Datei helfen. Dies ist im Grunde ein Text File ohne einer “richtigen” Endung wie wir sie aus der Microsoft Welt kennen, klingt komisch ist aber so
Im Internet findet ihr sehr viele ausführliche Beschreibungen zu .htaccess Password Schutz. Hier gehe ich nur auf einen sehr einfachen Passwortschutz ein. Im Grunde braucht ihr nur 2 Datein, die .htpasswd und .htaccess. Die Punkte am Beginn der Wörter sind nicht etwa Fehler sondern gewollt. In Unix Betriebsystemen sind “Punkt-Datein” unsichtbare Datein und können nur mit ls -la gesehen werden. Hääääää, was meint er denn nun??? Egal, ist so, werden wir nicht ändern, muss man auch nicht verstehen
Also, was brauchen wir nun alles. Einen Text Editor der Datein im Unix Format speichern kann (zB Notepad++ oder Ultraedit) und ein FTP Programm (zB Ws-ftp). Nehmt den unten stehenden Code und fügt in in euren Lieblings Editor ein und speichert diese zuerst mal als htaccess ab.
AuthType Basic
AuthName “Geschütztes Verzeichnis”
AuthUserFile /mein/server/hat/irgend/wo/ein/Verzeichnis/dass/ich/schützen/möchte/.htpasswd
require valid-user
Dann benötigt ihr noch eine zweite Datei, in der die Passwörter und die User stehen, die Zugriff auf die Seite bekommen sollen.
Fehlgeschlagene Logins bei WordPress mitloggen und unterbinden
Habt ihr euch auch schon mal gefragt, ob sich in eurem Admin Bereich bei WordPress jemand anzumelden versucht hat? Kürzlich habe ich bei einer Domain mal die error und access Logfiles durchgestöbert. Dabei ist mir aufgefallen, dass ich mich ja selber 2 mal beim Password vertippt habe (eigentlich habe ich es ja vergessen, aber sagen wir mal ich hätte mich vertippt
). Ich habe darauf hin mal bei meiner WordPress Installation nachgeschaut, ob solche Versuche mitprotokoliert werden, habe aber bis zur derzeit aktuellen Version von WordPress (2.9.2). Abhilfe schaffen derzeit Plugins wie Login LockDown und Limit Login Attempts. Ich habe mir erstmal Login LockDown angeschaut.
Die default Settings des Plugins erlaube einem bösen Eindringling, dass er sich binnen 5 Minuten 3 mal vertippen darf, dann wird er für eine Stunde gesperrt. Somit hat er also über Nacht nicht mehr als 30 Versuche für einen Hack der Seite, länger sollte man die eigene Seite eh nicht unbeobachtet lassen
Ein weiteres nettes Feature hat das Plugin noch, man sieht, welche IP gerade geblockt ist. Mit Hilfe von ripe.net kann man dann nachschauen, woher der Bösewicht kommt. Diese Seite ist im Übrigen auch so manchmal recht nützlich…
Sollte man sich bei diversen Versuchen mal selber blockiert haben, sieht man gleich seine IP und kann sich dann selber wieder befreien, auch nicht schlecht!

