On 10.08.21 14:07, Werner Franke wrote:

Vom Internet soll eigentlich nur Web-Seiten über https erreichbar sein.

Der Apache ist jedoch auch für cgi-bin/Perl konfiguriert. Das brauche ich aber nur im Intranet. Kann man irgendwie verhindern, dass er auf diesbezügliche Anfragen aus dem Internet antwortet bzw. irgendwie reagiert ?

https://httpd.apache.org/docs/2.4/howto/access.html Viele Grüße Ulf

On Tue, 10 Aug 2021 14:07:49 +0200 Werner Franke wrote:

Apache: Vom Internet soll eigentlich nur Web-Seiten über https erreichbar sein.

Der Apache ist jedoch auch für cgi-bin/Perl konfiguriert. Das brauche ich aber nur im Intranet. Kann man irgendwie verhindern, dass er auf diesbezügliche Anfragen aus dem Internet antwortet bzw. irgendwie reagiert ?

Das cgi-bin Zeugs nur für http konfigurieren aber nicht für https?

Ich gehe mal davon aus, dass Nextcloud kein Perl braucht. Wenn sowas wie Container keine Option (oder Overkill) ist, würde ich mit IP-based virtual hosting arbeiten. Auf dem Linux-Server richtest Du ein IP-Alias und in der Apache-Konfiguration virtual-host-Konfigurationen für jede IP-Adresse ein. "Default" wird deaktiviert. Die eine IP-Adresse und somit die damit verbundene virtual-Host-Konfig ist per Port-Forward über die Fritzbox von außen erreichbar und dort richtest Du die Nextcloud-Konfiguration ein. Die andere ist nicht von außen erreichbar und dort richtest Du Deine perl-Applikation ein. Am besten gibst Du beiden noch einen eigenen Namen im internen DNS-Server, so vorhanden. Wenn Du Letencrypt verwendest, dann bietet er Dir bei der initialen Einrichtung beide vhost-Konfigs an und da musst Du halt nur die für externen Zugriff auswählen. Hinsichtlich ssh solltest Du nur public key authentication erlauben. Bei "root" vielleicht gar kein ssh-Login erlauben und stattdessen über persönliche Accounts als Zwischenstation arbeiten. Wenn Du intern unbedingt weiterhin mit Passwort arbeiten willst oder sonstwie ssh-Restriktionen auf externe Zugriffe beschränken willst, wird's etwas aufwendiger, geht aber im Prinzip auch. Einen schönen Überblick über die unerlaubten Zugriffe liefert Dir Logwatch. Da siehst Du auch, welche User "bekannt" sind und man sieht auch erfolgreiche ssh-Logins, die vielleicht gar nicht erwünscht waren. Das failed-Login-Rauschen reduziert man z.B. über denyhosts - z.B. drei vergebliche Login-Versuche und die IP wird für mehrere Tage auf tcp-Level gesperrt. Andere nehmen fail2ban, welches auch für http/https geeignet ist. Gruß, Tobias.

Hallo zusammen, Am 10.08.21 um 14:07 schrieb Werner Franke:

Hallo zusammen,

dies ist eine Fortsetzung des Threads "OT: Server up-to-date halten", aber mit anderer Fragestellung.

Der Server hängt hinter einer Fritzbox und in der werden nur https und ssh an den Server weitergeleitet. Aber nicht mit den Standardports sondern mit Ports jenseits von 30000. Das ist zwar kein perfekter Schutz aber ich denke es könnte etwas vor Portscans schützen.

Auf dem Server wird Nextcloud und ein Apache betrieben, die aber ausschliesslich über https erreichbar sind. In der Vergangenheit, als ich noch bei Nokia gearbeitet habe, durfte ich mich zwar mit Apache beschäftigen, aber das Thema Sicherheit vom Internet war nie ein Thema, denn alles war nur im Intranet.

Nachdem in der c't 23 vom 23.10.2021 ein interessanter Artikel über "Hacking-Tools: Gefährlich und nützlich" enthalten ist und da speziell der Teil "Gute Tools, böse Tools" für mich passte, habe ich auf meinem Dektop PC eine Kali-Linux VirtualBox VM angelegt und meinen Heimzugang mit dem Tool DIRB getestet. (Ich verwende in den Beispielen unten eine geänderte URL) dirb https://werner.spdns.org:40443 Es wurden zuerst sehr viele Einträge gemeldet. Auch welche, von denen ich bisher nichts gewusst habe. Daraufhin habe ich den Apache2.4 soweit angepasst, dass die Meissten verschwunden sind. Aber die 3 unten bekomme ich nicht weg. dirb https://werner.spdns.org:40443 ----------------- DIRB v2.22 By The Dark Raver ----------------- START_TIME: Thu Nov 11 11:51:25 2021 URL_BASE: https://werner.spdns.org:40443/ WORDLIST_FILES: /usr/share/dirb/wordlists/common.txt ----------------- GENERATED WORDS: 4612 ---- Scanning URL: https://wfr1dns.spdns.org:30443/ ---- + https://werner.spdns.org:40443/cgi-bin (CODE:403|SIZE:7573) + https://werner.spdns.org:40443/git (CODE:403|SIZE:7573) + https://werner.spdns.org:40443/phpMyAdmin (CODE:403|SIZE:7573) Meine DocumentRoot ist "/srv/www/htdocs" root@hpserver (-bash) ll /srv/www/htdocs drwxr-xr-x 2 root root 4,0K 1. Nov 18:28 cgi-bin -rw-rw-r-- 1 root root 45 17. Dez 2020 .htusers drwxr-xr-x 14 root root 4,0K 1. Okt 04:05 nextcloud drwxr-xr-x 9 root root 4,0K 1. Nov 18:25 phpMyAdmin root@hpserver (-bash) ll /srv/www drwxr-xr-x 2 root root 4,0K 1. Nov 18:28 cgi-bin -rw-rw-r-- 1 root root 17 1. Nov 17:11 .htaccess drwxr-xr-x 5 root root 4,0K 11. Nov 18:22 htdocs root@hpserver (-bash) more .htaccess Options -Indexes "git" kommt wahrscheinlich über /etc/apache2/conf.d/gitweb.conf, wobei ich mich nicht erinnern kann, das ich das installiert habe. Habe es erstmal gelassen. In meiner Apache Config für den des Servers habe ich definiert: Options FollowSymLinks Options -Indexes : : </Directory> Ein Options -Indexes AllowOverride All </Directory> bringt auch nichts. Ich nehme mal an, dass der Apache die Einträge liefert. Kann ich verhindern dass von der URL überhaupt etwas gelistet wird. Wenn ja, was könnte helfen ? Den phpMyAdmin habe ich so eingestellt, dass er sich jetzt nur bei internen IPs meldet. Der war vorher auch vom Internet erreichbar. Hat jemand noch einen Tipp für mich. Danke und Grüße Werner