Das Gefährliche an XAMPP

[freakXHTML]

Hallo zusammen,
wenn ich XAMPP installiere, dann sind standartgemäß keine Passwörter gesetzt und überall wird dringend empfohlen, dies schleunigst zu ändern, da sonst leicht "von außen darauf zugegriffen werden kann". Ich verstehe aber nicht warum.

XAMPP ist ja eigentlich ein virtueller Webserver, der es mir ermöglicht, meine Websites mit PHP und MySQL auch ohne Internetanschluss zu testen. Wenn ich dann alles online stelle, dann passt mein Provider da doch automatisch drauf auf.

Ich benutze XAMPP also als Teststation. Warum ist es also so wichtig, alles mit Passwörtern zu versehen, da darüber doch sowieso nicht die finale Websitenversion läuft?!

Vielen Dank
lg, freakXHTML

 

[vitus37]

Die Gefahr an XAMPP ist die, dass Hacker womöglich auf den Server zugreifen können.

Bei Standard-Konfiguration ist es zum Beispiel möglich von innerhalb des Netzwerks auf den Server zuzugreifen.
Sollte jetzt versehentlich noch die Firewall des Routers falsch oder schlecht konfiguriert sein, so könnten auch Rechner von ausserhalb des Netzwerks zugreifen und Schäden anrichten.

Als "Teststation" nutze auch ich XAMPP und bin zufrieden damit. Ich habe nur für MySQL Passwörter eingerichtet. Die Verschlüsselung mit .htaccess habe ich nicht genutzt, da innerhalb meines Netzwerks niemand fremdes ist.

Gruß

 

[freakXHTML]

Du meinst mit "Server" jetzt den virutellen Server von XAMPP, oder? Um das zu erreichen, müssen die doch erstmal wissen, dass ich ein solches ungeschützes Netzwerk habe und müssen anschließend durch meinen Router, Virensystem etc. Das ist doch nicht so einfach.

Ich habe noch eine ganz andere Frage: Wie kann man ganz kurz und knackig einen Hash erklären? Kann man einen Hash als Verschlüsselung sehen?

Vielen Dank für die schnelle Hilfe
lg, freakXHTML

 

[vitus37]

Ja, ich meine mit Server den Rechner, auf dem XAMPP installiert ist,
Es gibt kein unhackbares Netzwerk... Irgendwo findet sich immer eine Sicherheitslücke, und wenn die Firewall dazu noch falsch konfiguriert ist, macht man es dem Eindringling extra leicht. Ein Hacker verbringt den Großteil seiner Zeit mit herumprobieren von Nummern, Ports etc.

Ganz kurz: Mit einer Hashfunktion lässt sich eine Eingabe in eine eindeutige Zeichenkette/Hash umwandeln.
http://de.wikipedia.org/wiki/Hashfunktion
In der Webentwicklung werden die Hashfunktionen sha1 oder md5 zum Verschlüsseln von Passwörtern benutzt, da der Hash fast nicht zurückverschlüsselbar und somit das Passwort nicht in Klarschrift herauszufinden ist.

 

[MrMurphy]

Hallo

XAMPP ist ja eigentlich ein virtueller Webserver

Das ist so nicht richtig. XAMPP bzw. seine Komponenten werden durchaus produktiv im WWW eingesetzt. Deshalb ist es sinnvoll, wenn darauf hingewiesen wird, für entsprechende Sicherheitseinstellungen zu sorgen.

Solange du einen Router benutzt und keine Verbindung zum XAMPP freigibst ist die Gefahr eines bösartigen Zugriffs meiner Ansicht nach relativ gering. Allerdings kann es dann passieren, das man später doch einen Zugriff von außen zulässt und in dem Moment nicht mehr daran denkt, das noch Sicherheitseinstellungen fehlen. Das wird dann schnell ganz gefährlich.

Deshalb (und auch um überhaupt mit den Sicherheitseinstellungen vertraut zu werden) ist es schon sinnvoll, diese von Anfang an zu aktivieren.

Gruss

MrMurphy

 

[mermshaus]

In der Webentwicklung werden die Hashfunktionen sha1 oder md5 zum Verschlüsseln von Passwörtern benutzt, da der Hash fast nicht zurückverschlüsselbar und somit das Passwort nicht in Klarschrift herauszufinden ist.

Hashes sind im Allgemeinen nicht eindeutig auf den Ausgangswert rückführbar und deshalb keine Form der Verschlüsselung.

In dem Zusammenhang vielleicht interessant: Rainbow Table

Deshalb reicht zum Beispiel md5() nicht aus, um (zumindest schlechte) Passwörter "unrückübersetzbar" abzulegen. Bei gebräuchlichen Passwörtern lässt sich das Klarschriftpasswort häufig sogar ermitteln, indem nach dem Hash im Web gesucht wird.

Gegenmaßnahme: Salt (Kryptologie)

 

[Lothar-B]

Hallo freakXHTML,

auch wenn die Antwort ziemlich spät kommt, und Du sicher die richtigen Antworten gefunden hast, möcht ich trotzdem noch mal etwas hierzu schreiben. Xampp ist ein ganz normaler Webserver, der unter Deinem Betriebssystem läuft. Das ist sicher schon mal soweit klar. Hinzu kommmt, das hier bei Xampp ein My-SQL Server integriert ist, auf dem mit den auch im Xampp enthaltenen Datenbankverwaltungsprogramm phpMyAdmin MySQL Datenbanken verwaltet werden.

Viele WebProjekte (Webseiten) benötigen zum Funtionieren MySQL datebanken. Das Datenvank Verwaltungsprogramm phpMyAdmin ist standartmäßig nicht mit einem Passwort geschützt, so das jeder, der Zugriff auf diese Webseite hat, Datenbanken ändern, im schlimmsten Fall sogar löschern kann, und die Webseite wäre futsch, und die Daten verloren.

Nun ist das aber nur möglich, wenn jemand anderes von außen an den laufenden Webserver, und damit an phpMyAdmin kommt. Das ist dann möglich, wenn in der Windows Firewall Ports geöffnet werden, damit Du deine Webseiten im lokalen Netzwerk testen kannst. Ist im übrigen auch noch kein Problem, wenn Dei Netzwerk entsprechend abgesichert wurde. Wenn Du allerdings keinen Router mit interner Firewall einsetzt, sondern ein einfaches DSL Modem, dann ist der (Dein) Server schon vom Internet her zu erreichen, wenn Du nur die Ports in der Windows Firewall (Port 80) öffnetst. Um das zu verhindern, hat Xampp das sogenannte Sicherheitskonzept eingeführt. Deshalb sind die Seiten des Webservers nur lokal, mit der IP-Adresse http: //127.0.0.1/ erreichbar. Nur durch Bearbeiten der Konfiguration bekommt man es dann wieder hin, das der Server vom Internet her erreichbar ist.

WebHosting-Total geht da neue Wege. Es ist einfach zu Installieren, und ist nach der Installisation dank der Integrierten Server-Administration einfach abzusichern. Mit WebHosting-Total kann man kinderleicht virtuelle Server mit den in der Server Administration eingetragenen DNS Namen, Port oder Namensgestützt, virtuelle Verzeichnisse und zugehörige MYSQL Datenbanken erstellen ohne die Übersicht zu verlieren, und das ohne einen Eingriff in die sensible Apache Konfiguration! Die Server Apache, MercuraMail, und FileZilla werden allesamt über die vorhandene Administration verwaltet, so das man sich nur auf das wesentliche konzerntrieren muss: Auf das Programmieren von Webseiten!

WebHosting-Total ist Dank seiner Konzeption sogar als Porduktionsserver einsetzbar. Man kann mit ihm einen Tausch- und Webserver einrichten, Webseiten hosten, und ihn als Fileserver einsetzen, egal ob im Internet oder nur im lokalen Netzwerk. WebHosting-Total ist je nach Server-Paket schon mit vorinstallieten Anwendungen, wie kPlaylist, Board, Webmailer oder anderen ausgestattet...

Mit DynDNS.com kann man zum Beispiel seinen Webserver Dank der DNS Fähigkeit des WebHosting-Total auch mit einem Namen, statt einer IP-Adresse über das Internt erreichbar machen!

Weitergehende Informationen sind hier zu finden:

WebHosting-Total Eigenenr Webserver unter Windows - Clevere Alternative
WebHosting-Total - Eigener Webserver unter Windows XP - die clevere Alternative...
Stadtportal Magdeburg-Stadt.de - Regionalportal - Branchenverzeichnis - Zimmerverzeichnis - Anzeigemrkte (Download)


MFG, Lothar-B

 

[sysop]

In dem Zusammenhang vielleicht interessant: Rainbow Table

Deshalb reicht zum Beispiel md5() nicht aus, um (zumindest schlechte) Passwörter "unrückübersetzbar" abzulegen. Bei gebräuchlichen Passwörtern lässt sich das Klarschriftpasswort häufig sogar ermitteln, indem nach dem Hash im Web gesucht wird.....

Nun, Datenbanken, die man nutzt um Passwörter abzufragen können das in der Regel mit allen Arten von Verschüsselungen, soll bedeuten, ein schlechtes Passwort wird nicht dadurch besser, dass man ein andere Methode verwendet, es ist schlich und einfach schlecht!
abc als passwort, da hilft auch kein salt oder was auch immer.

Es hat sich nur noch niemand die Arbeit gemacht verschlüsselte Passwörter mit dem entsprechenden Schlüssel zu sammen und in einer Datenbank abzulegen.
Bei MD5 sind die Bescheuerten im Internet ja noch so dämlich und füttern solche Datenbanken.

Aber es stimmt schon, MD5 hashes kann man mittlerweise "googeln"

 

[Alshain]

Doch, ein Salt hilft auch bei einem "schlechten" Passwort.
Die Idee ist ja gerade, Rainbow-Tables unnütz zu machen, da man dadurch die Verbindung zwischen dem Passwort und dem Hash bricht. Somit hat der Angreifer nur Wertlose Hashes da er diese auch mithilfe von Rainbowtables nicht in funktionierende Passwörter zurückverwandeln kann. Um dies zu ermöglichen, müsste man eine neue Rainbow-Table unter Berücksichtigung des Salts zu berechnen. Eine weitere Stufe stellen dynamische Salts dar.