Ich habe letztens auf Stackoverflow einen kleinen Trick gefunden, wie sich beliebige Textinformationen, beispielsweise Zugangsdaten oder Passwörter, mit Batch versteckt in Dateien speichern und von dort wieder auslesen lassen.
Das dient sicher nicht für kritische Daten – vor einfachen neugierigen Blicken in Batch-Dateien kann man aber immerhin etwas verbergen.
Weiterlesen
Kategorie: Sicherheit
Windows UAC per Registry/Batch konfigurieren
Das Windows-Feature „User Account Control“ (UAC), im deutschen Windows auch Benutzerkontensteuerung genannt, ist seit Windows Vista verbaut und sorgt für sichereres Rechtehandling beim Ausführen von Programmen. Im Hintergrund steckt außerdem ein Sandboxing-Prinzip, wodurch unterschiedliche Programme in unterschiedlichen Nutzer- und Rechtekontexten auf einem Desktop vereint zusammen arbeiten können.
Die Benutzerkontensteuerung kann auf eine von vier unterschiedliche Stufen gestellt werden; eine davon entspricht der Deaktivierung, die anderen drei realisieren unterschiedliche Sicherheitsstufen.
Im (vertrauensvollen) Unternehmenseinsatz ist eine auf Stufe 1 gestellte UAC sinnvoll, damit administrative Aufgaben auch direkt aus der Anmeldung eines eingeschränkten Nutzers per Eingabe von Admin-Daten möglich ist. Diese lässt sich beispielsweise mit Batch und Registry konfigurieren und im Windows AD verteilen, hier der Code:
@echo off & Color 9f & setlocal set wd=\\server\Deployment\Sonstiges\activate-uac set log=%wd%\activate-uac-log.txt set uacconfig=99 REM Clientfilter: nur die Computer aus der allowedPCs.txt dürfen installieren ::for /f %%f in (%wd%\allowedPCs.txt) do if "%computername%"=="%%f" goto check ::goto end REM Clientfilter: die Computer aus der deniedPCs.txt dürfen nicht installieren for /f %%f in (%wd%\deniedPCs.txt) do if "%computername%"=="%%f" goto end reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 1 /f set uacconfig=%errorlevel% reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 5 /f set uacconfig=%uacconfig%%errorlevel% reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorUser /t REG_DWORD /d 3 /f set uacconfig=%uacconfig%%errorlevel% reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f set uacconfig=%uacconfig%%errorlevel% echo %date% %time:~0,8% - %computername% hat UAC Settings übernommen: %uacconfig% >> %log% :end endlocal
Die unterschiedlichen Werte der einzelnen Registry-Eigenschaften könnt ihr hier übersichtlich nachlesen. Es gibt noch weitere Punkte der UAC, die über die Registry gesteuert werden können.
PS: Das Konzept hinter der UAC ist äußerst komplex und es macht u.U. Spaß, sich als fortgeschrittener Windows-Nutzer darin einzulesen.
Ausführbare Dateien mit pestudio untersuchen
Letztens hat ein Leser in meinem Artikel Skype Werbung entfernen einen guten Kommentar hinterlassen, hier zu sehen. Es ging darum, dass es doch sicherheitstechnisch sehr bedenklich sei, von mir entwickelte, ausführbare Dateien (seien es .exe oder .bat) zu starten. Diese gesunde Skepsis begrüße ich und versuche in meinen Artikeln doch den offenen Code und viel Hintergrundinformationen die nötige Transparenz zu schaffen, um diese Sorgen zu reduzieren.
Ausführbare Dateien bleiben jedoch immer ein Risiko für Computersysteme und sollten immer mit Vorsicht behandelt werden. In meiner Kommentar-Antwort hatte ich ein paar generelle Tipps dazu gegeben:
- immer kritisch und skeptisch sein (vor allem bei Downloads im Netz)
- immer Virenscanner seperat (per Rechtsklick meistens) über jeden Download schicken, obwohl sie auch im Hintergrund immer aktiv aufpassen
- immer Dateigrößen prüfen, ob sie zu den erwarteten Inhalten passen (Musikdateien sind selten kleiner als 1MB)
- immer den kompletten Dateinamen mit all seinen Dateiendungen überprüfen (Explorer Einstellungen setzen, dass Dateiendungen angezeigt werden) und prüfen, ob die Dateiendungen zum erwarteten Dateityp passen (Bilder haben selten .exe als Dateiende)
- Vorsicht vor typischen Malware-Dateitypen: .exe, .dot, .dotm (sowieso alle Office Dateitypen mit einem „m“ am Ende), .vbs und weitere
- im Verdachtsfall bei Online-Diensten wie VirusTotal hochladen und schauen, was diese analysieren
Diese Liste möchte ich heute noch um ein Tool ergänzen, dass an dieser Stelle ansetzt: pestudio. pestudio ist eine Analysesoftware, die ausführbare Dateien auf Binärcode-Ebene untersuchen und alle Erkentnisse „leicht lesbar“ und übersichtlich auflisten. Dabei wird die Datei nicht ausgeführt, der Vorgang ist also gefahrenfrei.
Besonders praktisch ist die Schnittstelle zum VirusTotal Dienst, die in der Software verbaut ist, sodass jede analysierte Datei auch an diesen Dienst geschickt und dort bewertet wird. Das kann auch für PC-Ottonormalnutzer besonders hilfreich sein, weil dafür nicht extra der Browser geöffnet und die VirusTotal Homepage geöffnet werden muss. pestudio kann sogar in das Rechtsklick-Kontextmenü integriert werden, eine entsprechende .reg-Datei liegt bei. (Leider haben die Entwickler hier gepfuscht: in der Reg-Datei ist der feste Pfad „C:/pestudio/pestudio.exe“ verbaut, der Weg über das Rechtsklick funktioniert also nur, wenn das Programm dort liegt oder man den Pfad der .reg vor dem Import anpasst.)
Davon abgesehen eignet sich die Software jedoch eher für fortgeschrittenere PC-Anwender, da die Informationen nur mit etwas Hintergrundwissen eingeschätzt werden können.
Im folgenden habe ich mal die Dateien des Skype Posts analysiert: disableSkypeAds.bat und disarmSkypeConfigs.ps1.
Sieht erwartungsgemäßig unspannend aus – sind schließlich auch keine ausführbaren Dateien und somit werden die einzelnen Codezeilen fast fehlerfrei als Strings erkannt.
Ausführbare Dateien sind jedoch wesentlich komplexer und enthalten viel mehr Funktionalitäten, die vom Programm vielleicht auch gar nicht genutzt werden. Die .exe Datei aus meinem letzten Beitrag, dem Swords and Souls Bot, sieht beispielsweise verhältnismäßig gruselig aus:
Das liegt hauptsächlich daran, wie ich mit AutoIt ausführbaren Dateien kompiliere. Beispielsweise lasse ich den Code von benötigten Bibliotheken in die .exe Datei mergen, damit ich meine Programme nicht mit zusätzlichen .dll (oder anderen) Dateien ausliefern muss. Das bläht natürlich die .exe Datei auf und plötzlich hätte diese, laut pestudio, sogar die Fähigkeit, FTP Verbindungen aufzubauen 😀
Für mich trotzdem ein spannendes Tool, mit dem ich bestimmt gerne mal ein paar fremde Dateien analysiere, die man im Netz manchmal so zugespielt bekommt 😉
Also halten wir fest: Immer schön skeptisch und vorsichtig bleiben.
Backup-Lösung für FTP und MySQL in PHP
Dieser Beitrag ist eine Ergänzung bzw. Erweiterung des vorherigen Posts „FTP-Backup-Lösung mit PHP“. Die große Neuerung der Version 1.2 ist die Funktion MySQL Datenbanken sichern zu können. Auch hier wird ein Backup erstellt, überschüssige Backups (wenn mehr vorhanden sind als der gewünschte Maximalwert) werden gelöscht und neue Backups ggf. zu einem externen Server übertragen. Mit Version 1.2.1 gibt es zusätzlich die Möglichkeit, ALLE Ordner der Root-Ebene, mit Ausnahmen, zu sichern und Version 1.2.2 ermöglicht detailliertere Ausnahmen. In Version 1.3 wird das Backup mittels eines weiteren Skripts aufgerufen. Mehr dazu weiter unten.
Features
Diese Lösung (v1.3) bietet nun folgenden Funktionsumfang:
- beliebig viele Ordner des All-Inkl Accounts in einzelne .tar.gz Archive sichern
- oder: alle Ordner der Root-Ebene, mit möglichen Ausnahmen, sichern
- Detailliertere Ausnahmen mit Datei- und Ordnermasken wie z.B. „*.tar.gz“
- Einschränkung der Anzahl aufgehobener Backups – älteste Backups werden automatisch gelöscht
- detaillierte Ausgabe inklusive benötigter Zeit
- E-Mail Benachrichtigung
- Farbliche Hervorhebung
- Verbesserungen des Backup Prozesses, zusätzliche Überprüfungen und Debug Infos bei Fehlern
- Verbinden eines externen FTP Server und Kopieren aller neuen Backups
- Angabe eines beliebigen FTP Ports
- Verbindung über FTPs (SSL FTP) Port 21 wird verwendet, unsicheres FTP nur noch als Fallback
- detailliertere Informationen über die Backups in der Benachrichtigungsmail
- Backup von beliebig vielen MySQL Datenbanken von localhost, Aufräumen der Backups und Export an externen Server
- E-Mail Anpassungen über Parameter möglich – Betreff, Anmerkungen, Details
- ausführliche Ausgabe aller Backups im Skript und per Mail
Zwischen den Zeilen 37 und 82 findet ihr alle Variablen, die ihr anpassen müsst/könnt.
Zur Datenbanksicherung ist zu sagen, dass diese auf den Hoster All-Inkl optimiert ist. Sie sichert nur Datenbanken von localhost und benötigt den PHP Befehl „exec()“ sowie die Komponenten „mysqldump“ und „gzip“, die auf All-Inkl Servern erlaubt bzw. installiert sind. Auf anderen Hostern müssen daher ggf. diese Möglichkeiten geschaffen oder die MySQL Sicherung (Zeile 190-191) verändert werden.
Update 03/2020: Blogleser Crunchy hat mich netterweise darauf hingewiesen, dass durch den Wegfall des apache-mode die Skriptausführungszeit nun auf 10 Minuten begrenzt ist. Daher ist es nun sinnvoll, das Backupskript über ein zweites Skript aufzurufen. All-Inkl gibt das Format grob vor und ich habe unten im Download ein solches Aufruf-Skript auch mit eingefügt. Ladet euch also beide Skripte und richtet euch einen Cronjob mit dem Aufruf-Skript init-backup.php ein.
Screenshot
Code
Update 08.2017: Version 1.2.2 nur noch als Download
Update 03.2020: Version 1.3, init-backup.php hinzugefügt und kleinere Fehler im Backup-Skript behoben
Code/Download der init-backup.php
Code/Download der backup.php
Sicherheit: Absicherung mit .htpasswd
Das Verzeichnis, in dem die backup.php und die Backups liegen, sollte natürlich mit einer .htpasswd abgesichert werden. Mit einer eingerichteten .htpasswd Datei ist zuerst ein Login nötig, eh man auf bestimmte Bereiche des Webspaces zugreifen darf:
Die Datei .htpasswd enthält hierbei die Login Daten und in der .htaccess des Backup Unterordners wird festgelegt, dass eine .htpasswd diesen Ordner schützt. Die .htpasswd generiert ihr euch am besten mit diesem Generator und baut sie dann folgendermaßen in die .htaccess dieses Ordners ein:
AuthType Basic AuthName "Backups" AuthUserFile /www/htdocs/all-inkl-account/backup/.htpasswd Require valid-user
Sicherheit: Absicherung mit .htaccess
Da wir schonmal bei .htaccess sind, erhöhen wir die Sicherheit mit ein paar weiteren grundlegenden Zeilen:
#block access to certain file types <FilesMatch ".(htaccess|htpasswd|ini|phps|log|sh|tar.gz)
quot;>
Order Allow,Deny
Deny from all
</FilesMatch>
# disable directory browsing
Options All -Indexes
# prevent basic url hacking stuff
# from: http://www.queness.com/post/5421/17-useful-htaccess-tricks-and-tips
RewriteEngine On
# proc/self/environ? no way!
RewriteCond %{QUERY_STRING} proc/self/environ [OR]
# Block out any script trying to set a mosConfig value through the URL
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|\%3D) [OR]
# Block out any script trying to base64_encode crap to send via URL
RewriteCond %{QUERY_STRING} base64_encode.*(.*) [OR]
# Block out any script that includes a <script> tag in URL
RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR]
# Block out any script trying to set a PHP GLOBALS variable via URL
RewriteCond %{QUERY_STRING} GLOBALS(=|[|\%[0-9A-Z]{0,2}) [OR]
# Block out any script trying to modify a _REQUEST variable via URL
RewriteCond %{QUERY_STRING} _REQUEST(=|[|\%[0-9A-Z]{0,2})
# Send all blocked request to homepage with 403 Forbidden error!
RewriteRule ^(.*)$ /index.htm [F,L]
ErrorDocument 401 /backup/index.htm
ErrorDocument 403 /backup/index.htm
ErrorDocument 404 /backup/index.htm
ErrorDocument 500 /backup/index.htm
Dadurch werden Zugriffe auf bestimmte Dateitypen (auch die Backup Dateien), Verzeichnisse und Zugriffe mit sicherheitskritischen Merkmalen unterbunden. Alle diese nicht validen Zugriffe bekommen die index.htm serviert, welches einfach nur eine leere HTML Datei ist. Somit wird den Abfragenden auch kein detaillierter Grund gegeben, warum der Zugriff fehlschlug.
Automatisierung mit All-Inkl Cronjobs
Zu guter Letzt hilft diese Sicherungslösung natürlich nur, wenn sie automatisiert wird. Auch dies ist stark abhängig von eurem Hoster, System, dem Anwendungsbereich usw.
Im Falle von All-Inkl als Webhoster, könnt ihr die Cronjob Funktionalität im KAS (KAS -> Tools -> Cronjobs) benutzen:
ACHTUNG: Richtet euch den Cronjob bitte für die init-backup.php ein, nicht für die backup.php. Siehe Update von 03/2020 oben.
FTP-Backup-Lösung mit PHP
Dieser Beitrag ist eine Ergänzung bzw. Erweiterung des vorherigen Posts „FTP Backup Skript in PHP“.
Folgende Änderungen werde ich hier besprechen:
- Erweiterung des Skripts
- Sicherheit: Absicherung mit .htpasswd
- Sicherheit: Absicherung mit .htaccess
- Automatisierung mit All-Inkl Cronjobs
Erweiterung des Backup Skripts
Das neue Skript bietet nun neue Funktionalitäten:
- Farbliche Hervorhebung
- Verbesserungen des Backup Prozesses, zusätzliche Überprüfungen und Debug Infos bei Fehlern
- Verbinden eines externen FTP Server und Kopieren aller neuen Backups
- Angabe eines beliebigen Ports
- Verbindung über FTPs (SSL FTP) Port 21 wird verwendet, unsicheres FTP nur noch als Fallback
- detailliertere Informationen über die Backups in der Benachrichtigungsmail
Nun werden also von beliebig vielen Ordner des FTP-Root Backups erstellt, gegebenenfalls aufgeräumt wenn mehr Backups existieren als aufgehoben werden sollen und anschließend alle neuen Backups auf einen externen FTP Server kopiert. Für den Upload wird der passive FTP Modus verwendet, da dieser in den seltensten Fällen Probleme macht. Sollte der Wechsel zum passiven FTP fehlschlagen, wird dennoch aktives FTP probiert.
Alle nötigen Informationen werden in den Variablen in Zeile 16 bis 25 angegeben. Format und Hilfe steht jeweils dabei, eigentlich sollte da alles klar sein.
Die Erweiterungen machen aus dem Skript eine beispielhafte Backup-Lösung für FTP Inhalte. Auch hier am Beispiel von All-Inkl als Hoster. Wer die Lösung unabhängig von All-Inkl einsetzen möchte, wird das Archive_Tar PHP Modul und irgendeine Art von Cronjob-Funktionalität brauchen.
Screenshot
Code
Update (02.06.2015): Anpassung der Variablennamen zur besseren Lesbarkeit, Fehlerkorrekturen, verbesserte FTP-URI-Verarbeitung, Portangabe möglich, Verbindung über FTPs (FTP über SSL über Port 21) möglich (mit Fallback zu unsicherem FTP wenn FTPs nicht funktioniert), erweiterte Informationen über die erfolgten Backups in der Benachrichtigungsmail, kleine Optimierungen
Code anzeigenDen Code könnt ihr bequem mit den Links/Rechts Pfeiltasten horizontal bewegen.
<? // PHP-Konfiguration optimieren // if no errors are shown, please check htaccess restrictions by "php_flag display_errors off" // in this or parent folders @error_reporting(E_ALL); @ini_set("max_execution_time", 300); @ini_set("memory_limit", "256M"); header('Content-Type: text/html; charset=utf-8'); include "Archive/Tar.php"; $pfad = preg_replace('/(\/www\/htdocs\/\w+\/).*/', '$1', realpath(__FILE__)); $alltime = 0; $newbackups = array(); $backupinfo = array(); echo "<style>.ok{color:#478F47;}.err{color:#DA3833;}.grey{color:grey;}.warn{color:#f0ad4e;}th,td{border-bottom: 1px solid #aaa;}</style>"; // ########## EDIT THIS VARIABLES ################### $foldertobackup = array("tools", "reports"); // which root folders should get backed up? $copytoexternalftp = 1; // copy new backup files to external ftp server? should be 1/"yes"/"ja" or 0/"no"/"nein" // external (ftp) servers to copy new backups to, format: // in general: ftp://username:password@url:port/path (port is required!) // ftp://user:pw@ftp.server.com:21/ // ftp://user:pw@serverurl.com:21/optional/path // secure sftp connection (port 22) in preparation but not ready yet $externalftpuri = "ftp://admin:password@firma.dns.com:21/Data/FTP-Backups"; $backupfilemaximum = 2; // how many archives should be stored? $dir = $pfad."backup/"; // in which subfolder is this backup php file? this would be: "root/backup/" $sendmail = 1; // send notification mail when all backups are done - should be 1/"yes"/"ja" or 0/"no"/"nein" $sendmailto = "adminmail@firma.de"; // valid mail address to send the mail to // ################################################## echo "<span class='ok'>".date("d.m.Y G:i:s")."</span><br>"; foreach ($foldertobackup as $verzeichnis) { $jobtime = time(); echo "<br><br>########################################<br>"; echo "<strong>Verzeichnis $verzeichnis wird gesichert...</strong><br>"; flush(); // check if folder exists if(!file_exists($pfad.$verzeichnis)) { echo "<span class='err'>Sicherung fehlgeschlagen. Zu sichernder Ordner $pfad$verzeichnis existiert nicht.</span>"; continue; } // Name: [verzeichnis]_[Datum]_[Uhrzeit].tar.gz $archivname = $verzeichnis.date('_Y-m-d_His').".tar.gz"; // Name: [All-Inkl-Accountname]_[Datum]_[Uhrzeit].tar.gz //$archivname = preg_replace('/.+\/(.+)\/$/', '$1', $pfad).date('_Y-m-d_His').".tar.gz"; // Auszuschließende Ressourcen $ignorieren = array("*.sql.gz", "*.tar.gz", "usage", "logs"); // ######### create backup $archiv = new Archive_Tar($archivname, true); $archiv->setIgnoreList($ignorieren); $archiv->createModify($pfad.$verzeichnis, "", $pfad); $backuptime = time() - $jobtime; $archivsize = round(filesize($dir.$archivname)/1000000); if (!is_numeric($archivsize)) { $archivsize = "filesize error"; } if (is_int($backuptime)) { echo "<span class='ok'>Backup fertig: $archivname (Größe: $archivsize MB, Dauer: $backuptime Sekunden)</span><br>"; } else { echo "<span class='ok'>Backup fertig: $archivname</span><br>"; } // check created archive if (!is_object($archiv)==1 || !is_numeric($archivsize) || !$archivsize>50) { // abort process due to wrong type or too small filesize (which likely is an error) echo "<span class='err'>Sicherung fehlgeschlagen. Erstelltes Archiv ist fehlerhaft.</span><br>Mehr Infos <a href='http://hannes-schurig.de/09/05/2015/ftp-backup-skript-in-php/' target='blank'>hier</a><br>"; // debug echo "<p class='grey'>Debug:<br>"; echo "Pfad: $dir.$archivname<br>"; echo "Typ: ".gettype($archiv)."<br>"; echo "Größe: $archivsize MB</p>"; continue; } $newbackups[$archivname] = $dir.$archivname; echo "Aufräumen der Backups...<br>"; flush(); // integer starts at 0 before counting $i = 0; $backupfiles = array(); // ######### collect valid backup files if ($handle = opendir($dir)) { while (($file = readdir($handle)) !== false) { if ( is_int(strpos($file, $verzeichnis)) == true && preg_match('/\.tar.gz$/i', $file) && !in_array($file, array('.', '..')) && !is_dir($dir.$file) ) { $backupfiles[$dir.$file] = filectime($dir.$file); } } } echo count($backupfiles)." valide Backups dieses Ordners gefunden, "; echo "$backupfilemaximum Backups sollen behalten werden. "; $backupcountdif = count($backupfiles)-$backupfilemaximum; if ($backupcountdif<=0) { echo "Kein Backup wird gelöscht.<br>"; } else if ($backupcountdif==1) { echo "1 Backup wird gelöscht:<br>"; } else if ($backupcountdif>=2) { echo "$backupcountdif Backups werden gelöscht:<br>"; } flush(); // ######### sort and delete oldest backups // sort backup files by date arsort($backupfiles); // reset counter variable $i = 0; // delete oldest files foreach ($backupfiles as $filepath => $value) { if($i>=$backupfilemaximum) { echo "$filepath wird gelöscht...<br>"; if (unlink($filepath)) { echo "<span class='ok'>Datei erfolgreich gelöscht.</span><br>"; } else { echo "<span class='err'>Fehler beim Löschen der Datei.</span><br>"; } } $i++; } $jobendtime = time() - $jobtime; array_push($backupinfo, array($verzeichnis, $archivname, $archivsize." MB", $jobendtime." Sekunden", date("d.m.Y G:i:s"))); echo "<span class='ok'>Backup für Verzeichnis $verzeichnis abgeschlossen.</span><br>"; if (is_int($jobendtime)) { echo "######################################## (Dauer: $jobendtime Sekunden)<br>"; $alltime += $jobendtime; } else { echo "########################################<br>"; } } if(count($newbackups)>0) { echo "<br><span class='ok'>Die automatische Sicherung des Skripts '".pathinfo(__FILE__, PATHINFO_BASENAME)."' hat ".count($newbackups)." Verzeichnisse in insgesamt $alltime Sekunden gesichert.</span><br><br>"; } else { echo "<br><span class='err'>Es scheint leider so als wenn keine Backups erfolgreich erstellt wurden.</span><br><br>"; } flush(); // ######### copy backups to external storages if (!isset($copytoexternalftp) || $copytoexternalftp== 0 && in_array($copytoexternalftp, array("no", "nein"))) { echo "<span class='warn'>Backups werden nicht auf einen externen FTP kopiert. Option ist deaktiviert.</span><br>"; } else { $ftptime = time(); echo "########################################<br>"; echo "<strong>".count($newbackups)." Backups werden auf externen FTP kopiert...</strong><br>"; flush(); $ftpcon = getFtpConnectionByURI($externalftpuri); flush(); if(gettype($ftpcon)=="resource") { foreach ($newbackups as $filename => $fullpath) { $uploadtime = time(); echo "Kopiere .$filename. (Größe: $archivsize MB) auf den FTP...<br>"; flush(); if (ftp_put($ftpcon, $filename, $filename, FTP_ASCII)) { $uploadendtime = time() - $uploadtime; if (is_int($uploadendtime)) { echo "<span class='ok'>Backup erfolgreich kopiert. (Dauer: $uploadendtime Sekunden)</span><br>"; } else { echo "<span class='ok'>Backup erfolgreich kopiert.</span><br>"; } } else { echo "<span class='err'>Fehler beim Kopieren des Backups.</span><br>"; } flush(); } } $ftpendtime = time() - $ftptime; if (is_int($ftptime)) { echo "######################################## (Dauer: $ftpendtime Sekunden)<br>"; } else { echo "########################################<br>"; } } flush(); // ######### send mail if (!isset($sendmail) || $sendmail== 0 && in_array($sendmail, array("no", "nein"))) { echo "<br><span class='warn'>Benachrichtigungsmail wurde nicht verschickt. Option ist deaktiviert.</span><br>"; } else { if(!preg_match( '/^([a-zA-Z0-9])+([.a-zA-Z0-9_-])*@([a-zA-Z0-9_-])+(.[a-zA-Z0-9_-]+)+/' , $sendmailto)) { echo "<br><span class='err'>FEHLER: Mail konnte nicht versendet werden, da die Adresse ungültig ist!</span><br>"; } else { $mailsubject = "Automatische FTP Sicherung abgeschlossen"; $mailtext = "Die automatische Sicherung des FTP-PHP-Backup-Skripts ".pathinfo(__FILE__, PATHINFO_BASENAME)." hat ".count($foldertobackup)." Verzeichnisse in insgesamt $alltime Sekunden gesichert.<br><br>"; // add backup informations as table to mailtext $mailtext .= "<table border=0 style='border-spacing:0;'><thead><tr><th>Verzeichnis</th><th>Dateiname</th><th>Größe</th><th>Dauer</th><th>Timestamp</th></tr></thead><tbody>"; for($i=0;$i<count($backupinfo);$i++) { $mailtext .= "<tr>"; for($j=0;$j<count($backupinfo[$i]);$j++) { $mailtext .= "<td>" . $backupinfo[$i][$j] . "</td>"; } $mailtext .="</tr>"; } $mailtext .= "</tbody></table>"; mail( $sendmailto, $mailsubject, $mailtext, "From: backupscript@{$_SERVER['SERVER_NAME']}\r\n" . "Reply-To: backupscript@{$_SERVER['SERVER_NAME']}\r\n" . "Content-Type: text/html\r\n" ) or die("<br><span class='err'>FEHLER: Mail konnte wegen eines unbekannten Fehlers nicht versendet werden.</span><br>"); echo "<br><span class='ok'>Benachrichtigungsmail wurde erfolgreich verschickt!</span><br>"; } } flush(); // function to get ftp connection object from URI // basics were from: http://php.net/manual/de/function.ftp-connect.php#89811 function getFtpConnectionByURI($uri) { // Split FTP URI into: // $match[0] = ftp://admin:password@barketing.dns.com:21/Data/FTP-Backups // $match[1] = ftp // $match[2] = admin // $match[3] = password // $match[4] = barketing.dns.com // $match[5] = 21 // $match[6] = /Data/FTP-Backups preg_match("/([a-z]*?):\/\/(.*?):(.*?)@(.*?):(.*?)(\/.*)/i", $uri, $match); $ftpcon = null; // check if port is set and uri is formatted correctly if(is_int(intval($match[5]))) { $port = intval($match[5]); // check if ftp(s) or sftp is chosen if($match[1]=="ftp") { // set up and ftp(s) connection, login echo "Stelle (FTPs über SSL - Port $port) Verbindung zu FTP Server $match[4] her...<br>"; // try ftps over ssl, usally through port 21 $ftpcon = ftp_ssl_connect($match[4], $port, 30); if (!gettype($ftpcon)=="resource") { echo "<span class='warn'>FTP über SSL - Port $port - Verbindung fehlgeschlagen!</span><br>"; echo "Stelle (unsicheres FTP - Port $port) Verbindung zu FTP Server $match[4] her...<br>"; // try normal insecure ftp $ftpcon = ftp_connect($match[4], $port, 30); } if (gettype($ftpcon)=="resource") { $login = ftp_login($ftpcon, $match[2], $match[3]); $pasv = ftp_pasv($ftpcon, true); } } else if($match[1]=="sftp") { echo "<span class='err'>SFTP Unterstützung noch nicht implementiert.</span><br>"; // if(!$port==22) { // echo "<span class='warn'>SFTP Übertragung aber Port ist nicht 22. Ist der gewählte Port $port korrekt?</span><br>"; // } // echo "Stelle (sichere sFTP - Port $port) Verbindung zu FTP Server $match[4]$match[5]:$match[6] her...<br>"; // $ftpcon = ssh2_connect($match[4], $port, 30); // ssh2_auth_password($ftpcon, $match[2], $match[3]); // $sftp = ssh2_sftp($ftpcon); } else { echo "<span class='err'>Kein gültiger Verbindungstyp (ftp/sftp) angegeben.</span><br>"; } } else { echo "<span class='err'>Der Port ist fehlerhaft angegeben. Bitte URI prüfen.</span><br>"; } if ($ftpcon && gettype($ftpcon)=="resource") { echo "<span class='ok'>Verbindung hergestellt</span>"; if ($login) { echo "<span class='ok'>, Login erfolgreich</span>"; if ($pasv) { echo "<span class='ok'>, passiver Modus aktiviert</span>"; if(!isset($match[6]) || $match[6] == "") { echo ".<br>"; return $ftpcon; } else if (ftp_chdir($ftpcon, $match[6])) { echo "<span class='ok'>, Verzeichniswechsel zu $match[6] erfolgreich.</span><br>"; return $ftpcon; } else { echo "<span class='err'>, Verzeichniswechsel zu $match[6] fehlerhaft.</span><br>"; return null; } } else { echo "<span class='err'>, passiver Modus konnte nicht aktiviert werden. Upload wird trotzdem probiert.</span><br>"; return $ftpcon; } } else { echo "<span class='err'>, Login fehlgeschlagen.</span><br>"; return null; } } echo "<span class='err'>Fehler beim Verbinden mit dem FTP Server $match[4]$match[5]$match[6].</span><br>"; echo "<p class='grey'>Debug:<br>"; echo "URI (komplett): $match[0]<br>"; echo "Typ: $match[0]<br>"; echo "URI ohne Typ: $match[4]<br>"; echo "Username: $match[2]<br>"; echo "Passwort: $match[3]<br>"; echo "Port: $match[5]<br>"; echo "Unterordner: $match[6]<br>"; echo "</p>"; // Or retun null return null; } // from: http://stackoverflow.com/a/10473026/516047 function startsWith($haystack, $needle) { // search backwards starting from haystack length characters from the end return $needle === "" || strrpos($haystack, $needle, -strlen($haystack)) !== FALSE; } ?>
Sicherheit: Absicherung mit .htpasswd
Das Verzeichnis, in dem die backup.php und die Backups liegen, sollte natürlich mit einer .htpasswd abgesichert werden. Mit einer eingerichteten .htpasswd Datei ist zuerst ein Login nötig, eh man auf bestimmte Bereiche des Webspaces zugreifen darf:
Die Datei .htpasswd enthält hierbei die Login Daten und in der .htaccess des Backup Unterordners wird festgelegt, dass eine .htpasswd diesen Ordner schützt. Die .htpasswd generiert ihr euch am besten mit diesem Generator und baut sie dann folgendermaßen in die .htaccess dieses Ordners ein:
AuthType Basic AuthName "Backups" AuthUserFile /www/htdocs/all-inkl-account/backup/.htpasswd Require valid-user
Sicherheit: Absicherung mit .htaccess
Da wir schonmal bei .htaccess sind, erhöhen wir die Sicherheit mit ein paar weiteren grundlegenden Zeilen:
#block access to certain file types <FilesMatch ".(htaccess|htpasswd|ini|phps|log|sh|tar.gz)$"> Order Allow,Deny Deny from all </FilesMatch> # disable directory browsing Options All -Indexes # prevent basic url hacking stuff # from: http://www.queness.com/post/5421/17-useful-htaccess-tricks-and-tips RewriteEngine On # proc/self/environ? no way! RewriteCond %{QUERY_STRING} proc/self/environ [OR] # Block out any script trying to set a mosConfig value through the URL RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|\%3D) [OR] # Block out any script trying to base64_encode crap to send via URL RewriteCond %{QUERY_STRING} base64_encode.*(.*) [OR] # Block out any script that includes a <script> tag in URL RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR] # Block out any script trying to set a PHP GLOBALS variable via URL RewriteCond %{QUERY_STRING} GLOBALS(=|[|\%[0-9A-Z]{0,2}) [OR] # Block out any script trying to modify a _REQUEST variable via URL RewriteCond %{QUERY_STRING} _REQUEST(=|[|\%[0-9A-Z]{0,2}) # Send all blocked request to homepage with 403 Forbidden error! RewriteRule ^(.*)$ /index.htm [F,L] ErrorDocument 401 /backup/index.htm ErrorDocument 403 /backup/index.htm ErrorDocument 404 /backup/index.htm ErrorDocument 500 /backup/index.htm
Dadurch werden Zugriffe auf bestimmte Dateitypen (auch die Backup Dateien), Verzeichnisse und Zugriffe mit sicherheitskritischen Merkmalen unterbunden. Alle diese nicht validen Zugriffe bekommen die index.htm serviert, welches einfach nur eine leere HTML Datei ist. Somit wird den Abfragenden auch kein detaillierter Grund gegeben, warum der Zugriff fehlschlug.
Automatisierung mit All-Inkl Cronjobs
Zu guter Letzt hilft diese Sicherungslösung natürlich nur, wenn sie automatisiert wird. Auch dies ist stark abhängig von eurem Hoster, System, dem Anwendungsbereich usw.
Im Falle von All-Inkl als Webhoster, könnt ihr die Cronjob Funktionalität im KAS (KAS -> Tools -> Cronjobs) benutzen:
All-Inkl bietet sogar das Zusenden aller Skriptausgaben. Ihr erhaltet also zusätzlich zu dem kurzen E-Mail-Bericht, der im Skript generiert werden kann, noch eine weitere Mail mit allen Ausgaben. Diese sind dann zwar nicht mehr farbig, aber was solls:
Danke an Kenny für das wertvolle Feedback im letzten Artikel, das dazu beigetragen hat, dass ich diese Erweiterung nochmal gepostet habe. Meinst du, dass das jetzt eine Basic Backup Lösung sein könnte? Das einzige, was noch fehlt, ist das Backup Management auf dem externen FTP Server, damit der nicht überläuft. Aber das ist nun wirklich Aufgabe der Admins zu entscheiden und zu verwalten, wie lange Backups aufgehoben werden sollen.
FTP-Backup-Skript in PHP
FTP Backups (bisher)
Mein Blog läuft auf dem Hoster ALL-INKL.com, den ich nebenbei gesagt nach mehreren Jahren immernoch empfehlen kann.
Bisher habe ich halbwegs (un)regelmäßig manuell, von Hand, FTP Backups erstellt. Also alle paar Monate habe ich über einen FTP Tool wie FileZilla bestimmte Ordner heruntergeladen, Datei für Datei, anschließend in ein Archiv gepackt und irgendwo verstaut. Dieser Prozess ist natürlich in vielerlei Hinsicht nicht zuverlässig, zeitintensiv und aufwändig.
Auch das Sichern der Ordner automatisiert mit Tools wie SyncBack (mein Artikel dazu) wird immer zeitintensiver, je größer die zu sichernde Datenmenge wird. Außerdem muss immer ein PC, auf dem die Tools laufen, an sein.
FTP Backups via PHP Skript
Sinnvoller ist es, diese Backups auf dem Server des Webhosters erstellen zu lassen. So wird der heimische PC nicht belastet.
All-Inkl bietet dafür ein recht einfaches PHP Skript zum Sichern eines einzelnen FTP Ordners oder des gesamten All-Inkl FTP Accounts.
Ich habe dieses Skript ausgebaut und um verschiedene Funktionen ergänzt:
- beliebig viele Ordner des All-Inkl Accounts in einzelne .tar.gz Archive sichern
- Einschränkung der Anzahl aufgehobener Backups – älteste Backups werden automatisch gelöscht
- detaillierte Ausgabe inklusive benötigter Zeit
- E-Mail Benachrichtigung
Screenshot
Code
Code anzeigenDen Code könnt ihr bequem mit den Links/Rechts Pfeiltasten horizontal bewegen.
<? // PHP-Konfiguration optimieren // if no errors are shown, please check htaccess restrictions by "php_flag display_errors off" // in this or parent folders @error_reporting(E_ALL); @ini_set("max_execution_time", 300); @ini_set("memory_limit", "256M"); header('Content-Type: text/html; charset=utf-8'); include "Archive/Tar.php"; $pfad = preg_replace('/(\/www\/htdocs\/\w+\/).*/', '$1', realpath(__FILE__)); $alltime = 0; // ########## EDIT THIS VARIABLES ################### $foldertobackup = array("bonnie", "tests", "locationmap", "blog"); // which root folders should get backed up? $backupfilemaximum = 2; // how many archives should be stored? $dir = $pfad."backup/"; // in which subfolder is this backup php file? this would be: "root/backup/" $sendmail = 1; // send notification mail when all backups are done - should be 1/"yes"/"ja" or 0/"no"/"nein" $sendmailto = "admin@yourdomain.com"; // valid mail address to send the mail to // ################################################## foreach ($foldertobackup as $verzeichnis) { $jobtime = time(); echo "<br><br>########################################<br>"; echo "<strong>Verzeichnis ".$verzeichnis." wird gesichert...</strong><br>"; flush(); // Name: [verzeichnis]_[Datum]_[Uhrzeit].tar.gz $archivname = $verzeichnis.date('_Y-m-d_His').".tar.gz"; // Name: [All-Inkl-Accountname]_[Datum]_[Uhrzeit].tar.gz //$archivname = preg_replace('/.+\/(.+)\/$/', '$1', $pfad).date('_Y-m-d_His').".tar.gz"; // Auszuschließende Ressourcen $ignorieren = array("*.sql.gz", "*.tar.gz", "usage", "logs"); // ######### create backup $archiv = new Archive_Tar($archivname, true); $archiv->setIgnoreList($ignorieren); $archiv->createModify($pfad.$verzeichnis, "", $pfad); $backuptime = time() - $jobtime; if (is_int($backuptime)) { echo "Backup fertig: ".$archivname." (Dauer: ".$backuptime." Sekunden)<br>"; } else { echo "Backup fertig: ".$archivname."<br>"; } echo "Aufräumen der Backups...<br>"; flush(); // integer starts at 0 before counting $i = 0; $backupfiles = array(); // ######### collect valid backup files if ($handle = opendir($dir)) { while (($file = readdir($handle)) !== false) { if ( is_int(strpos($file, $verzeichnis)) == true && preg_match('/\.tar.gz$/i', $file) && !in_array($file, array('.', '..')) && !is_dir($dir.$file) ) { $backupfiles[$dir.$file] = filectime($dir.$file); } } } echo count($backupfiles)." valide Backups dieses Ordners gefunden, "; echo $backupfilemaximum." Backups sollen behalten werden. "; $backupcountdif = count($backupfiles)-$backupfilemaximum; if ($backupcountdif<=0) { echo "Kein Backup wird gelöscht.<br>"; } else if ($backupcountdif==1) { echo "1 Backup wird gelöscht:<br>"; } else if ($backupcountdif>=2) { echo $backupcountdif." Backups werden gelöscht:<br>"; } flush(); // ######### sort and delete oldest backups // sort backup files by date arsort($backupfiles); // reset counter variable $i = 0; // delete oldest files foreach ($backupfiles as $key => $value) { if($i>=$backupfilemaximum) { echo $key." wird gelöscht...<br>"; if (unlink($key)) { echo "Datei erfolgreich gelöscht.<br>"; } else { echo "Fehler beim Löschen der Datei.<br>"; } } $i++; } $jobendtime = time() - $jobtime; if (is_int($jobendtime)) { echo "######################################## (Dauer: ".$jobendtime." Sekunden)<br>"; $alltime += $jobendtime; } else { echo "########################################<br>"; } } echo "<br><br>Die automatische Sicherung des FTP-PHP-Backup-Skripts '".pathinfo(__FILE__, PATHINFO_BASENAME)."' hat ".count($foldertobackup)." Verzeichnisse in insgesamt ".$alltime." Sekunden gesichert.<br><br>"; // ######### send mail if (!isset($sendmail) || $sendmail== 0 && in_array($sendmail, array("no", "nein"))) { echo "Benachrichtigungsmail wurde nicht verschickt."; } else { if(!preg_match( '/^([a-zA-Z0-9])+([.a-zA-Z0-9_-])*@([a-zA-Z0-9_-])+(.[a-zA-Z0-9_-]+)+/' , $sendmailto)) { echo "FEHLER: Mail konnte nicht versendet werden, da die Adresse ungültig ist!"; } else { mail( $sendmailto, "Automatische FTP Sicherung abgeschlossen", "Die automatische Sicherung des FTP-PHP-Backup-Skripts ".pathinfo(__FILE__, PATHINFO_BASENAME)." hat ".count($foldertobackup)." Verzeichnisse in insgesamt ".$alltime." Sekunden gesichert.", "From: backupscript@{$_SERVER['SERVER_NAME']}\r\n" . "Reply-To: backupscript@{$_SERVER['SERVER_NAME']}\r\n" . "Content-Type: text/html\r\n" ) or die("FEHLER: Mail konnte wegen eines unbekannten Fehlers nicht versendet werden"); echo "Benachrichtigungsmail wurde erfolgreich verschickt!"; } } ?>
Wichtige Anmerkungen
Bitte beachtet, dass einige Zeilen angepasst werden müssen und der Code nur bei dem Webhoster All-Inkl getestet wurde. Die Zeile
include "Archive/Tar.php"
, die ein externes Modul einbindet, könnte auf anderen Websern zu Problemen führen. Am besten testet ihr es einfach.
Thema Sicherheit: Wie Kenny in den Kommentaren korrekt angemerkt hat, müssen noch Anpassungen erfolgen, wenn das Skript als tatsächliche Backup-Lösung zum Einsatz kommen soll.
- Die Sicherungen landen bei diesem Skript direkt in dem Skript-Ordner. Die Sicherung(en) sollte(n) nach der Sicherung an einen anderen Ort, beispielsweise auf einen anderen Server oder ein NAS, kopiert werden. Oder ihr automatisiert den Download der Sicherungen nach dem Backupprozess.
- Sowohl das Skript als auch die Sicherungen können ohne weitere Maßnahmen direkt angesprochen werden. Ihr solltet natürlich den Backup Ordner beispielsweise durch eine htpasswd absichern und den Zugriff auf die Backups über die htaccess einschränken.
Ich werde dieses Online-Backup Thema in Zukunft vermutlich nochmal aufgreifen, erweitern und optimieren. Ich verlinke das dann hier.
PayPal Konto überprüfen und absichern
Trotz starker Passwörter ist es mir nun doch passiert: über mein PayPal Konto wurde heute eine nicht autorisierte Zahlung abgesetzt. Diese war nicht sehr groß, PayPal bemerkte diese Abbuchung auch sofort, sperrte das Konto für weitere Transaktionen und begleitet mich jetzt bei der Bearbeitung des Problems. Trotzdem ist es ein Zeichen dafür, dass ich bei PayPal neue Geschützte auffahren muss. Und diese möchte ich allen PayPal Usern ans Herz legen.
In den PayPal Einstellungen bzw. dem Benutzerprofil könnt ihr die folgenden Tipps umsetzen.
Sicherheit erhöhen
Wichtigste Absicherung: 2-Wege-Login mit einem Sicherheitsschlüssel. Das funktioniert dann wie bei Google, beim Login muss dann zusätzlich zum Passwort auch noch ein SMS Sicherheitscode eingegeben werden.
Hier ein paar Tipps weitere Tipps wie ihr euer PayPal Konto noch besser absichern könnt:
- (neues) komplexes Passwort, mindestens 12 Zeichen (meins hat jetzt 18…), alle 4 Zeichensets (Klein- und Großbuchstaben, Zahlen, Sonderzeichen)
- (neue) Sicherheitsfragen, leider ist PayPal hier sehr eingeschränkt, was die Möglichkeiten angeht
- Mein Profil -> Einstellungen -> Sicherheitsschlüssel: richtet ein 2-Wege-Login ein, bei dem ihr zusätzlich zum Passwort auch noch einen SMS Sicherheitscode eingeben müsst. Das solltet ihr unbedingt einrichten.
- Mein Profil -> Einstellungen -> Kundenservice PIN: definiert eine 6-stellige PIN, die beim Telefonat mit dem Support abgefragt wird
- Handynummer bestätigen (für Sicherheitsschlüssel-Login und Verifizierung bei Problemen)
- In den neuen PayPal Einstellungen im Reiter Benachrichtungen gibt es zusätzlich noch die Benachrichtungen per SMS, das gab es in den alten Einstellungen noch nicht. Hier am besten gleich noch SMS Benachrichtigung aktivieren.
Sicherheit überprüfen
Hattet ihr vielleicht unbefugten Zugriff auf eurem Konto oder wollt nur eine Routineüberprüfung vornehmen? Diese Punkte solltet ihr überprüfen:
- Mein Profil -> Persönliche Daten -> E-Mail Adressen noch korrekt und aktuell?
- Mein Profil -> Persönliche Daten -> Handynummer eingegeben (für Sicherheitsschlüssel-Login und Verifizierung bei Problemen) und aktuell?
- Mein Profil -> Bankdaten korrekt, keine neuen Einträge?
- Mein Profil -> Bankdaten -> „PayPal-Zahlungen per Händlerabbuchung“ listet alle Händler, die von eurem Konto abgebucht haben.
- Mein Profil -> Einstellungen -> „Einstellungen für Zahlungen über Mobilgeräte“ listet Mobilgeräte, die mit dem PayPal Konto verknüpft sind.
- Mein Profil -> Einstellungen -> „Benachrichtigungen“: bei „Zahlungsbestätigungen“ sollten alle Häkchen gesetzt sein.
- Mein Profil -> Einstellungen -> „Login mit PayPal“: welche Seiten sind mit dem PayPal Konto verknüpft?
Mehr Informationen zu den Sicherheitsfeatures gibt es hier.
Wer NOCH MEHR Sicherheit haben will, ist mit dem