in den letzten Tagen, Wochen war es ja mal wieder öfters zu lesen “Hilfe mein xt:Commerce Shop wurde gehackt“. Zu diesem Thema gabs auch wieder einige gute, amüsante Threads auf eComBase. Mutmaßerei, Rumorakelei at its best. Ich bin zum Teil hier vor Lachen von Stuhl gefallen. Das ging sogar soweit das Referenzen von Anbietern anlysiert wurden und der Anbieter öffentlich gefragt wurde warum er dagegen nichts gemacht hat. Comedy pur.
Ich frage mich was die Leute manchmal im Kopf haben???
Ich möchte mal einen Vergleich wagen, anhand eines stationären Ladenhandels. Wie schützt so ein lokaler Händler seinen Laden. In der Regel mit Sicherheitsglas vorne, sowie einer Sicherheitstüre vorne/hinten. Das Ladenlokal überwacht von einer Alarmanlage/Videoanlage. Durchaus auch noch Vergitterung an der Hinterseite (Fenster zum Hof, Türe, etc.). Dies ist so denke ich mal die Grundausstattung, viele dieser Sachen werden auch von der Versicherung gefordert, je nach Lage des Ladens. Damit kann ein Ladenbesitzer schon ruhig schlafen.
Wie sieht das zum Vergleich jetzt mit einem xt:Commerce Shopbetreiber aus. Ich gehe jetzt mal von meinen Erfahrungen aus.
xt:Commerce Shopbetreiber, meistens Nebenberuflich, Kleinunternehmerregelung, Shared Hosting. Das deckt so 90% dieser Kategorie ab. Die meisten von denen haben die fixe Idee mit einem Onlineshop nebenher noch gutes Geld verdienen zu wollen (was vom Gedanken her ja nicht falsch ist). So fix wie sie den Gedanken haben, stricken die sich auch den Shop zusammen. Meistens ist die erste Handlung sich ein günstiges, billiges xt:Commerce Hostingpaket zu besorgen. Darauf kommt dann meistens die xt:Commerce GPL Shopsoftware, oder eine Ihrer Forks wie Gambio GX, H.H.G. Multistore drauf. Meistens kommen hier schon die ersten Fehler bei der xt:Commerce Installation. Da mann zu Faul ist die Ordnerrechte richtg zusetzen, wie es der Installer verlang, wird meistes der komplette Shopordner rekursiv auf 777 gesetzt. Damit ist das Hauptproblem meistens schon gesetzt!
Nachdem der xt:Commerce Shop nun installiert ist, meldet man sich in einem xt:Commerce Support Forum an, um nach Gleichgesinnten zu suchen und div. kostenlose xt:Commerce GPL Shopmodule zu leechen. Da wird dann der SHop bis zum Überlaufen mit Module vollgestopft (alles was kostenlos ist muss rein), diverse Einbaufehler begangen. Im xt:Commerce Shopsupport Forum rumgemeckert warum das alles nicht funktioniert. Letztendlich nach gefühlten 300 Threads “Hilfe mein xt:Commerce GPL Shopsystem …” funktioniert es dann, jedoch meistens immer noch alles auf 777 … 
xt:Commerce Shopsystem fertig, zig Fehler und Sicherheitslücken selbst eingebaut und dann passiert das
xt:Commerce GPL Shopsystem gehackt
User ruft seine xt:Commerce Shopdomain auf und ein solches, nettes Bildchen von einem ausgewanderten Aushilfshacker lächelt Ihn an. Jetzt ist das Geschrei groß. Jetzt kommen die üblichen Verdächtigungen hoch, Beschuldigungen werden in die Weltposaunt posaunt, Leute verdächtigt und Schuld zugewiesen. Jetzt zu diesem Zeitpunkt findet unter den Usern die wilde Orakelei im Forum statt.
Fakt ist zu 99% sind die User selbst schuld. Schuld ist nie der Anbieter, der das Template geschrieben hat, der kann das auch nicht verhindern (nicht lachen war alles schon da)! Schuld ist fast IMMER der Shopbetreiber selbst. Das ist aber nur der eine Teil, der andere ist die Fahrlässigkeit mit welcher Kundendaten gefährdet werden. Nun solche Shops haben meist wenigeKunden, oder gar keine. Jedoch Kundendaten sind Kundendaten, welche es zu schützen gilt. Das ist den meisten Leuten nicht bewusst. Aber im Bewustsein die xt:Commerce Shopbetreiber dieser Gedanke nicht vorhanden. Ebenso der Gedanke des vollen xt:Commerce Backups.
Fragt euch mal wann Ihr das letzte VOLLBACKUP von Eurem Shop gemacht habt (nicht nur die DB, auch das Shopverzeichnis).
du mußt aber zugeben, eigentlich ist IMMER der serverbetreiber schuld
)
(schließlich läßt der ja zu, daß xt:commerce installiert wurde
LOL ja genau, das hatte ich vergessen zu schreiben. Die Betreiber sind letztendlich immer die Doofen, da wir das ja zulassen und uns danach von Kunden einen Geben lassen müssen.
Guter Artikel.
Um bei der Analogie zu bleiben wäre das dann so, daß die Ladenbesitzer nach einem Einbruch bei der Sicherheitstür-Firma anrufen und anfragen, ob “Sicherheitslöcher” bekannt seien und wie sowas denn passieren kann
Hallo Rumen, ja so ähnlich …
besser jedoch “Warum war keiner nach dem Auflaufen des Alarms sofort mit Hubschrauber da”
Fakt ist jedoch, das die meisten Shopbetreiber wenn so etwas pasiert den Hoster ranziehen wollen, warum der das nicht gemerkt hat …
Vielen Dank für deinen Kommentar …
Ich verstehe nicht was daran lustig sein soll… was kann ein Shopbetreiber dafür das irgendein Blödmann aus Spass seinen Shop hackt und Ärger & Verdienstausfälle verursacht.
Fred,
lustig, ist das nicht. Anscheinend hast Du den Artikel nicht verstanden. Jedoch 99% der Fehler passieren duch das Unvermögen und Unwissenheit der Shopbetreiber!
Da ist natürlich viel Wahres dran, aber ich kenne viele Shopbetreiber, die von php und MySQL null Ahnung haben. Die haben auch noch nie was von Ordnerrechten gehört. Deswegen sind sie aber nicht alle doof.
Richtig ist, dass das Gefahrenpotential völlig falsch eingeschätzt wird. Beim Ladenlokal weiß jeder, woher der Einbrecher kommen könnte. Aber wer sich mit Shopsoftware nicht auskennt, hat erstmal überhaupt keinen Plan davon, wie man den Shop schützen kann. Und wenn die nötige Einsicht oder das Kleingeld fehlt, um professionelle Hilfe in Anspruch zu nehmen, dann bleibt der Shop eben ungeschützt.
Ist der 0777 Tipp der einzige? Wie steht es mit Safe_mod und co.?
Könntest du noch weitere Tipps geben, weil darüber findet man leider sehr wenig.
LG HiQ
Hallo,
naja 0777 ist zu 90% das was immer der Fehler ist, von daher bin ich nicht auf andere Sachen eingegangen. Generell sollte zu allererst auf restriktiver Verzeichnisrechte geachtet werden!
Dennoch php_safe_mod sollte on sein (einige Provider, Hoster machen dies nicht standartmässig), PHPIDS könnte auch installiert sein. Solltet Ihr einen eigenen Rootserver haben empfiehlt sich auch OSSEC.
Hey, finde den Beitrag gut, villeicht rüttelt er den ein oder anderen ja mal auf. Allerdings finde ich auch, das du zu wenig geschrieben hast, wie man denn nun die Sicherheit erhöhen kann.
Gruß
Marius