mit htaccess htaccess Datei in einem verzeichnis deaktivieren

[Peter Meier]

Moin!

Wie kann ich unter Apache mit einer htaccess Datei htaccess Dateien in einem höheren Verzeichniss deaktivieren?

Also:
ich habe ein Verzeichnis /test/
und ein Verzeichnis /test/tmp/
im Verzeichniss /test/ soll eine htaccess Datei liegen mit der ich htaccess Dateien im Verzeichnis /test/tmp/ deaktivieren will (htaccess Dateien sollen also keine Konfiguration ändern können und dürfen per http ausgelesen werden).
Wie muss die htaccess Datei im Verzeichnis /test/ aussehen?

mfG, Peter

[mdkiller]

Hallo!

im Verzeichniss /test/ soll eine htaccess Datei liegen mit der ich htaccess Dateien im Verzeichnis /test/tmp/ deaktivieren will (htaccess Dateien sollen also keine Konfiguration ändern können und dürfen per http ausgelesen werden).
Wie muss die htaccess Datei im Verzeichnis /test/ aussehen?

Mal ne dumme Frage: Warum benennst du sie nicht einfach anders?

Gruß

mdkiller

[Peter Meier]

Mal ne dumme Frage: Warum benennst du sie nicht einfach anders?

Ich programmiere einen WebFTP "Clienten" und die Dateien die man downloadet werden zwischengespeichert. Und wenn man eine htaccess Datei downloadet kann man sie 1. nicht anzeigen und 2. wäre das ein sicherheitsrisiko!

mfg Peter

[Thomas Luethi]

Hallo,

Und wenn man eine htaccess Datei downloadet kann man sie 1. nicht anzeigen

Na und?
Wer sie aus Neugier herunterlaedt und zu doof ist,
um sie zu oeffnen, ist IMHO selbst schuld.

und 2. wäre das ein sicherheitsrisiko!

Warum denn?

Das einzige, worauf Du achten solltest, ist, dass niemand
eine .htaccess in dieses Verzeichnis _hochladen_ kann.
_Das_ waere ein Sicherheitsrisiko.

Gruesse,

Thomas

[Peter Meier]

Das einzige, worauf Du achten solltest, ist, dass niemand
eine .htaccess in dieses Verzeichnis _hochladen_ kann.
_Das_ waere ein Sicherheitsrisiko.

Genau das passiert aber. Ich schreibe einen WebFTP Clienten. Das heißt alle Dateien die der USer von einem fremden ftp runterläd werden auf meinem server zwischengespeichert. und wenn dasnun mal ein htaccess Datei ist ist das ein Sicherheitsrisko!

Also: Wie kann ich das parsen von htaccess Dateien in einem Vrzeichniss deaktivieren? Und wie muss ich vorgehen wenn die htaccess Dateien in dem Verzeichniss nicht mehr geschützt werden sollen also übertragen werden dürfen?

mfG, Peter Meier

[Thomas Luethi]

Hallo,

Genau das passiert aber. Ich schreibe einen WebFTP Clienten. Das heißt alle Dateien die der USer von einem fremden ftp runterläd werden auf meinem server zwischengespeichert. und wenn dasnun mal ein htaccess Datei ist ist das ein Sicherheitsrisko!

Ach, so ist das.
Du lieferst die Informationen leider nur troepfchenweise.
Bitte verrate uns endlich, was Du genau vorhast, wie das Benutzerinterface
und die Auflistung der Dateien aussehen sollen, wer alles Zugriff
erhalten soll (Welt - registrierte, verifizierte Benutzer - einfach so
registrierte Benutzer - Kumpels - ...) und vor allem, welche Technologien
Du einsetzt, insbesondere Betriebssystem, Apache-Version, serverseitige
Skriptsprache (PHP, Perl, ?) und -Version, ob Du selbst auf den Server
Zugriff hast (inkl. httpd.conf) oder nur "Kunde" bist, u.s.w.

Unter Umstaenden koenntest Du mit AllowOverride und AccessFileName etwas erreichen.
Das klappt vermutlich nur, wenn Du selbst an der httpd.conf etwas aendern kannst.
http://httpd.apache.org/docs/mod/core.html#accessfilename

Also: Wie kann ich das parsen von htaccess Dateien in einem Vrzeichniss deaktivieren? Und wie muss ich vorgehen wenn die htaccess Dateien in dem Verzeichniss nicht mehr geschützt werden sollen also übertragen werden dürfen?

Ein Ansatz waere, dass der Benutzer nicht direkt via HTTP auf das
Verzeichnis Zugriff kriegt, sondern dass Du saemtliche Dateien
"durchschleust", z.B. mit PHP.

Der "physische" Standort der Dateien waere dann ein "geheimes"
Verzeichnis, auf das kein HTTP Zugriff moeglich ist, sei es, weil es
ausserhalb des Document Root liegt (besser), sei es, dass Du es im
uebergeordneten Verzeichnis verbietest (evtl. unzuverlaessig).

www.example.com/test/temp/blabla.html
wuerde dann das Skript
www.example.com/test/temp.php oder www.example.com/test/temp
aufrufen und diesem den Parameter blabla.html uebergeben, siehe:
http://www.suchfibel.de/aktuell/phpseiten_und_suchmaschinen.htm
Die Datei blabla.html an sich waere sonstwo gespeichert, also im
"geheimen" Verzeichnis, und _nicht_ in einem Verzeichnis /test/temp/.

Das Skript schaut dann nach, ob die Datei blabla.html in dem "geheimen"
Verzeichnis existiert.
Wenn nein, liefert es einen HTTP-404-Header und ein paar
Zeilen HTML mit einer Fehlermeldung.
Wenn ja, liefert es den passenden HTTP-Content-Type-Header
und danach den Inhalt der Datei - in PHP z.B. mit readfile(),
und nicht etwa mit include() - das waere ein Sicherheitsrisiko!

Ein "Durchschleuser"-Skript in PHP habe ich vor ein paar Monaten
mal fuer Fabienne gepostet:
http://forum.de.selfhtml.org/archiv/2003/11/62399/
Das kannst Du als Basis nehmen und anpassen.

Gruesse,

Thomas

[Peter Meier]

Moin!

• ich bin kunde und habe kein zugriff auf die httpd.conf
• apache 2
• theoretisch gehe ich davon aus, dass jeder das webftp programm benutzten kann (also auch böswillige hacker)
• ich verwende php möchte aber kein script verwenden, dass die Dateien "durchschleust". Wenn man die htaccess Dateien in dem Verzeichnis deaktivieren kann entsteht ja eigentlich kein Sicherheitsrisiko. php und andere script-dateien habe ich schon deaktiviert (werden als text/plain übertragen). Gibt es sonst noch was zu beachten?

Also: Wie kann ich das parsen von htaccess Dateien in einem höheren Verzeichniss über eine htaccess Datei deaktivieren?

ciao, moin339