(Nicht nur) Magento liefert mit "adminer.x.x.x.php" Super-Werkzeug für den Einbruch in Webserver

[TS]

Hello J.,

Heise berichtet über Angriffe auf Magento-Online-Shops. Hilfreich für den Angriff ist die von Magento undurchdacht hinzugefügte die adminer-x.y.z.php

Demnach könnte längst nicht nur Magento betroffen sein, ist aber als Shop ein attraktives Angriffsziel.

Erste Hilfe: Fremden Zugriff auf die Datei unterbinden (Beispiel für Apache):

<filesmatch "^adminer.*$">
   AuthType Basic
   AuthName "Restricted Files"
   AuthBasicProvider file
   AuthUserFile "/path/to/passwordfile"
   Require user USERNAME
</filesmatch>

Ist das bei FilesMatch nicht eine Pfadangabe zur Datei?
Steht denn adminer.*\.php immer in der Root?
Das Caret am Anfang deines Musters irritiert mich nämlich.

Will noch jemand wissen, warum ich ungern fertiges Zeug von Dritten benutze?

Darum schalte ich bei derartigen Systemen auch grundsätzlich automatische Updates aus!

Glück Auf
Tom vom Berg