Man sollte vielleicht darüber nachdenken dieses Tool in den Joomla-Core mit aufzunehmen...
Mit Blick auf die Codequalität halte ich das für ausgeschlossen.
HTProtect - schnelle Erste Hilfe für und gegen gehackte Joomlas
-
kitepascal -
13. Juni 2026 um 13:04 -
Geschlossen -
Erledigt
-
-
Das ist halt wieder das nächste Pflaster für ein Problem, was man mit Joomla Coremitteln sauber hätte verhindern können:
- nutzt den public-Folder von Joomla (wichtig)
- sperrt den Admin-Bereich per htaccess ab
- deaktiviert die API Plugins, wenn ihr sie nicht braucht
- nutzt lange Passwörter
- aktiviert Multi-Factor-Authentication
- erlaubt im Image-Ordner nur Dateitypen, die ihr wirklich braucht
- Same for "media", auch hier braucht es eigentlich nur CSS/JS/Fonts/Bilder
- etc. pp.
Hättest du noch eine Anleitung, wie man es nach der Installation des public-Folder dann mit einem Backup unter Laragon zum laufen bringt?
-
Hallo,
ich habe nach Aktivierung eine Mail vom Provider bekommen. Hängt das mit der Erweiterung zusammen?
-
Danke für die schnelle Rückmeldung. Dann ist wohl eine Testseite übersehen worden.
-
Ich habe HTProtect installiert. Ein tolles Tool! Vielen Dank für die investierte Zeit!!
Alles im grünen Bereich bis auf eine Sache:
Das schöne Script readmedia.php von SniperSister funktioniert leider nicht mehr.
Erst nach Entfernen der entsprechenden Zeile (RewriteRule ^images\/downloads\/.*$ readmedia.php [L]“ in der htaccess-Datei klappt der Download.
Aber auch dafür gibt es sicher eine Lösung.
-
kitepascal Einfach readmedia.php in die Liste der erlaubten PHP-Dateien aufzunehmen, genügt nicht. Zusätzlich muss ich die Rewrite-Anweisung für den blockierten Ordner als eigene Anweisung an den Anfang der Datei setzen:
Nach meinen Tests verhält sich dann HTProtect so wie gewünscht. Das sollte aber noch mal jemand unabhängig von mir testen, damit wir da ganz sicher gehen.
-
Statt die Umleitung zu entfernen (dann läuft der Download ohne SniperSisters Script), gib das Skript, ohne Entfernen der zugehörigen Zeile, einfach frei:
Schutzschild → Dateischild → "Einzeldateien direkt freigeben" → dort readmedia.php eintragen → Speichern + .htaccess schreiben.
Wunderbar, so einfach zu lösen.
-
kitepascal Einfach readmedia.php in die Liste der erlaubten PHP-Dateien aufzunehmen, genügt nicht. Zusätzlich muss ich die Rewrite-Anweisung für den blockierten Ordner als eigene Anweisung an den Anfang der Datei setzen:
Nach meinen Tests verhält sich dann HTProtect so wie gewünscht. Das sollte aber noch mal jemand unabhängig von mir testen, damit wir da ganz sicher gehen.
Bei mir genügte tatsächlich nur die Übernahme der readmedia.php als Einzeldatei.
In der htacces steht dann das RewriteRule in zwei (???) Bereichen :
- # PHP läuft nur über freigegebene Einstiegspunkte - alles andere: 403
RewriteRule "^readmedia\.php(/|$)" - [E=HTP_SHIELD_PHP:1,NC] - # Vorhandene Dateien werden nur mit freigegebener Endung ausgeliefert.
# Nicht existierende Pfade bleiben unberührt (SEF-Routing).
RewriteRule "^readmedia\.php(/|$)" - [E=HTP_SHIELD_TYPE:1,NC]
- # PHP läuft nur über freigegebene Einstiegspunkte - alles andere: 403
-
Das sind zwei getrennte Schutzschichten (PHP- und Dateityp-Schild), und jede braucht ihre eigene Freigabe-Markierung. Sieht doppelt aus, macht pro Zeile aber was anderes.
Die readmedia images/downloads Regel sollte im "Am Anfang der Datei" Feld (wie von Rolf abfotografiert) stehen, sonst lenkt der Direktaufruf nicht mehr auf die readmedia.php um.
Stimmt natürlich, die stand bei mir ja schon vorher in der htaccess.
-
Mit Blick auf die Codequalität halte ich das für ausgeschlossen.
Ich habe HTProtect jetzt auf drei Seiten im Einsatz, aber der Satz irritiert mich jetzt ein wenig. 🤔
-
Ich habe HTProtect jetzt auf drei Seiten im Einsatz, aber der Satz irritiert mich jetzt ein wenig. 🤔
Die Aussage war eine Antwort auf den Vorschlag, das Tool in den Core zu integrieren und keine Bewertung der Funktion. Joomla hat für den Core über Jahre etablierte Code-Standards, die sich auch aus entsprechenden Standards der PHP-Industrie insgesamt ableiten - diese werden nicht befolgt.
-
Die Aussage war eine Antwort auf den Vorschlag, das Tool in den Core zu integrieren und keine Bewertung der Funktion. Joomla hat für den Core über Jahre etablierte Code-Standards, die sich auch aus entsprechenden Standards der PHP-Industrie insgesamt ableiten - diese werden nicht befolgt.
Ok, danke für die Erklärung.
-
Hallo Pascal,
könnte man im HTProtect auch so ein Eingabefeld hinterlegen wo man eintragen kann, welche Dateien NICHT aus dem tmp-Ordner gelöscht werden sollen?
