Ist es wirklich vorteilhaft, wp-config außerhalb des Webstamms zu verschieben?

Das Größteist,dass die wp-config.phpeinige vertrauliche Informationenenthält: Ihren Datenbankbenutzernamen/Ihr Kennwort usw.

Also die Idee: Verschieben Siees außerhalb des Dokumentstamms,und Siemüssen sich umnichts kümmern. Ein Angreifer kannniemals voneinerexternen Quelle auf diese Datei zugreifen.

Hieristjedoch das Problem: wp-config.php drucktniemalsetwas auf den Bildschirm. Es werdennur verschiedene Konstanten definiert,die während Ihrer WP-Installation verwendet werden. Daher kannjemand den Inhalt dieser Dateinur sehen,wenner den PHP-Interpreter Ihres Servers umgeht. Ererhält die Datei .php,dienur alseinfacher Textgerendert wird. In diesem Fall sind Siebereitsin Schwierigkeiten: Sie haben direkten Zugriff auf Ihren Server (und wahrscheinlich Root-Berechtigungen) und könnentun,was siemöchten.

Ich werde weitermachen und sagen,dasses aus den obengenannten und diesen Gründen keinen Vorteil hat,wp-config aus Sicherheitssicht außerhalb des Dokumentstamms zu verschieben :

1. Sie können den Zugriff auf die Datei über Ihre virtuelle Hostkonfiguration oder .htaccesseinschränken und so denexternen Zugriff auf die Datei auf dieselbe Weiseeinschränken,wie diesbeim Verschieben außerhalb des Dokumentstamms der Fall wäre.
2. Sie können sicherstellen,dass die Dateiberechtigungenfür wp-config streng sind,um zu verhindern,dass Benutzer ohne ausreichende Berechtigungen die Datei lesen,selbst wenn sie über SSH (eingeschränkten) Zugriff auf Ihren Servererhalten.
3. Ihre vertraulichen Informationen,Datenbankeinstellungen,werdennur aufeinereinzelnen Site verwendet. Selbst wennein Angreifer Zugriff auf diese Informationenerhalten würde,wäre dieeinzige Site,die davonbetroffen wäre,die WordPress-Installation,zu der die Datei wp-config.phpgehört. Noch wichtigerist,dass dieser Datenbankbenutzernur Berechtigungen zum Lesen und Schreibenin die Datenbank dieser WP-Installation hat und sonstnichts - kein Zugriff,um anderen Benutzern Berechtigungen zuerteilen. Mit anderen Worten,wennein Angreifer Zugriff auf Ihre Datenbankerhält,müssen Sie lediglich auseiner Sicherung wiederherstellen (siehe Punkt 4) und den Datenbankbenutzer ändern
4. Sie sichern häufig. Oftein relativer Begriff: Wenn Siejeden Tag 20 Artikel veröffentlichen,sollten Siejeden Tag oder allepaar Tageeine Sicherungskopieerstellen. Wenn Sieeinmalpro Wocheposten,isteine Sicherungeinmalpro Woche wahrscheinlich ausreichend.
5. Sie haben Ihre Website unter Versionskontrolle ( so ). Diesbedeutet,dass Sie dies auch danntun können,wennein Angreifer Zugrifferhalten hat Codeänderungen leichterkennen und zurücksetzen. Wennein Angreifer Zugriff auf wp-config hat,hater wahrscheinlichetwas anderes durcheinandergebracht.
6. Die Datenbankinformationen sind wirklich dieeinzigen vertraulichen Elementein wp-config,und da Sie vorsichtig damit sind (siehe Punkt 3 und 4),ist dies keinegroße Sache. Salze und dergleichen könnenjederzeitgewechselt werden. Daseinzige,waspassiert,ist,dasseingeloggte Benutzer-Cookies ungültig werden.

Fürmich stinkt das Verschieben von wp-config aus dem Dokumentenstammnach Sicherheit durch Dunkelheit - was sehr vielein Strohmannist.

The biggest thing is the wp-config.php contains some sensitive information: your database username/password, etc.

So the idea: move it outside the document root, and you don't have to worry about anything. An attacker will never be able to access that file from an external source.

Here's the rub, however: wp-config.php never actually prints anything to the screen. It only defines various constants that are used throughout your WP install. Thus the only way someone is going to see that contents of that file is if they circumvent your servers PHP interpreter -- they get .php file to render as just plain text. If that happens, you're already in trouble: they have direct access to your server (and probably root permissions) and can do whatever they like.

I'm going to go ahead and say there's no benefit to moving wp-config outside the document root from a security perspective -- for the reasons above and these:

1. You can restrict access to the file via your virtual host config or .htaccess -- effectively limiting outside access to the file in the same way that moving outside the document root would
2. You can ensure the file permissions are strict on wp-config to prevent any user without sufficient privileges from reading the file even if they gain (limited) access to your server via SSH.
3. Your sensitive information, database settings, are only used on a single site. So even if an attacker gained access to that information, the only site it would affect would be the WordPress install to which the wp-config.php file belongs. More importantly, that database user only has permissions to read and write to that WP install's database and and nothing else -- no access to grant other users permissions. Meaning, in otherwords, if an attacker gains access to your database, it's simply a matter of restoring from a backup (see point 4) and changing the database user
4. You backup often. Often being a relative term: if you post 20 article every day, you better back up every day or every few days. If you post once a week, backing up once a week is likely sufficient.
5. You have your site under version control (like this), which means even if an attacker gained access, you can easily detect code changes and roll them back. If an attacker has access to wp-config, they've probably messed with something else.
6. The database information is really the only sensitive stuff in wp-config, and because you're careful about it (see point 3 and 4), it's not a huge deal. Salts and such can be changed any time. The only thing that happens is that it invalidates logged in users' cookies.

To me, moving wp-config out of the document root reeks of security by obscurity -- which is very much a straw man.

Ich denke,Maxisteine sachkundige Antwort,und dasisteine Seite der Geschichte.Der WordPress-Codexenthält weitere Hinweise :

Stellen Sie außerdem sicher,dassnur Sie (und der Webserver) diese Datei lesen können (Diesbedeutetim Allgemeineneine 400- oder 440-Berechtigung.)

Wenn Sieeinen Servermit .htaccess verwenden,können Sie diesenin diese Dateieinfügen (at ganz oben),umjedem,der danach surft,den Zugang zu verweigern:

 <files wp-config.php>
order allow,deny
deny from all
</files>
 

Beachten Sie,dass das Festlegen der Berechtigung 400 oder 440für wp-config.phpmöglicherweise verhindert,dass Plugins darauf schreiben oder diese ändern.Einechter Fall wärebeispielsweise das Zwischenspeichern von Plugins (W3 Total Cache,WP Super Cache usw.). In diesem Fall würdeich 600 verwenden (die Standardberechtigungfür Dateienin /home/userVerzeichnis).

I think Max's is a knowledgeable answer, and that's one side of the story. The WordPress Codex has more advise:

Also, make sure that only you (and the web server) can read this file (it generally means a 400 or 440 permission).

If you use a server with .htaccess, you can put this in that file (at the very top) to deny access to anyone surfing for it:

<files wp-config.php>
order allow,deny
deny from all
</files>

Note that setting 400 or 440 permission on wp-config.php may prevent plugins from writing to or modifying it. A genuine case for example would be, caching plugins (W3 Total Cache, WP Super Cache, etc.) In that case, I'd go with 600 (the default permission for files in /home/user directory).

Jemand hat unsgebeten,zuglänzen,undich werde hier antworten.

Ja,esgibt Sicherheitsvorteile,wenn Sie Ihre Datei wp-config.php vom Stammverzeichnis Ihrer Siteisolieren.

1- Wenn Ihr PHP-Handler kaputtgeht oder aufirgendeine Weisegeändert wird,werden Ihre DB-Informationennicht verfügbargemacht. Undja,ich habe dieseinige Male aufgemeinsamgenutzten Hosts während der Serveraktualisierungengesehen. Ja,die Site wirdin diesem Zeitraumbeschädigt,aber Ihre Passwörter sindintakt.

2- Best Practicesempfehlenimmer,Konfigurationsdateien von Datendateien zuisolieren. Ja,esist schwierig,diesmit WordPress (odereiner anderen Web-App) zutun,aber das Verschiebennach obenführt zueinergewissen Isolation.

3- Denken Sie an die PHP-CGI-Sicherheitsanfälligkeit,bei derjeder die? -s aneine Datei übergeben und die Quelle anzeigen kann. http://www.kb.cert.org/vuls/id/520827

Am Ende sind dies kleine Details,aber sietragen dazubei,das Risiko zuminimieren. Insbesondere,wenn Sie sichin einergemeinsamgenutzten Umgebungbefinden,in derjeder auf Ihre Datenbank zugreifen kann (alles,waserbenötigt,istein Benutzer/Pass).

Aber lassen Sienicht zu,dass kleine Ablenkungen (vorzeitige Optimierungen) vor dastreten,was wirklichnotwendigist,umeine Site richtig sicher zumachen:

1- Halten Sieesimmer auf demneuesten Stand

2- Verwenden Sie sichere Passwörter

3- Beschränken Sie den Zugriff (über Berechtigungen). Wir haben hiereinen Beitrag dazu:

http://blog.sucuri.net/2012/08/wordpress-security-cutting-through-the-bs.html

danke,

Someone asked us to shine in, and I will reply here.

Yes, there are security benefits from isolating your wp-config.php from the root directory of your site.

1- If your PHP handler gets broken or modified in some way, your DB information will not be exposed. And yes, I saw this happen a few times on shared hosts during server updates. Yes, the site will be broken during that period, but your passwords will be intact.

2- Best practices always recommend isolating configuration files from data files. Yes, it is hard to do that with WordPress (or any web app), but moving it up does a bit of isolation.

3- Remember the PHP-CGI vulnerability, where anyone could pass the ?-s to a file and view the source. http://www.kb.cert.org/vuls/id/520827

At the end, those are small details, but they do help to minimize risk. Specially if you are on a shared environment, where anyone can access your database (all they need is a user/pass).

But don't let small distractions (premature optimizations) get in front of what is really necessary to get a site properly secure:

1- Keep it always updated

2- Use strong passwords

3- Restrict access (via permissions). We have a post about it here:

http://blog.sucuri.net/2012/08/wordpress-security-cutting-through-the-bs.html

thanks,

Aufjeden Fall JA.

Wenn Sie wp-config.php außerhalb des öffentlichen Verzeichnisses verschieben,schützen Siees vor dem Lesenmit dem Browser,wenn der PHP-Handlerböswillig (oder versehentlich!)geändert wird.

Das Lesen Ihres DB-Logins/Passwortsistmöglich,wenn der Server durcheinen Fehler des lahmen Administrators kauminfiziertist.Laden Sie dem Administratoreine Geldstrafe auf underhalten Sieeinen bessergepflegten und zuverlässigeren Server-Host.Dies kannjedochteurer sein.

Definitely YES.

When you move wp-config.php outside public directory you protect it from reading using browser when php handler gets maliciously (or accidentally!) changed.

Reading your DB login/password is possible when server is hardly infected through a fault of lame administrator. Charge the administrator a fine and get a better-tended and more reliable server host. Though that may be more expensive.

Ichmöchtenur aus Gründen der Argumentation klarstellen,dass das Verschieben Ihrer Datei wp_config.phpnicht unbedingtbedeutet,dass Sie sienurin das übergeordnete Verzeichnis verschiebenmüssen. Angenommen,Sie habeneine Struktur wie/root/html,in der HTML die WP-Installation und Ihrengesamten HTML-Inhaltenthält. Anstatt wp_config.phpnach/root zu verschieben,können Siees auchnach/root/secure ... verschieben,das sich sowohl außerhalb des HTML-Verzeichnisses als auchnichtim Server-Stammverzeichnisbefindet. Natürlichmüssten Sie sicherstellen,dass PHP auchin diesem sicheren Ordner ausgeführt werden kann.

Da WPnicht so konfiguriert werden kann,dassin einem Geschwisterordner wie/root/Securenach wp_config.phpgesucht wird,müssen Sieeinen zusätzlichen Schritt ausführen. Ich habe die Datei wp_config.phpin/root/htmlbelassen,die vertraulichen Teile (Datenbankanmeldung,Salt,Tabellenpräfix) ausgeschnitten undin eine separate Dateinamens config.php verschoben. Anschließendfügen Sie Ihrer wp_config.php den Befehl PHP include wiefolgt hinzu: include ('/home/content/path/to/root/secure/config.php');

Diesistim Wesentlichen das,wasichin meinem Setupgetan habe. Basierend auf der obigen Diskussionprüfeichjetztimmernoch,obesnotwendig oder sogareine gute Ideeist. Aberich wolltenur hinzufügen,dass die obige Konfigurationmöglichist. Ihre Backups und andere Root-Dateien werdennicht verfügbargemacht. Solange der sichere Ordnernichtmit einereigenen öffentlichen URLeingerichtetist,kannernicht durchsucht werden.

Außerdem können Sie den Zugriff auf den sicheren Ordnereinschränken,indem Sie dorteine .htaccess-Dateierstellenmit:

  Bestellung ablehnen,zulassen
abgelehnt von allen
erlauben von 127.0.0.1
 

I just want to clarify, for the sake of argument, that moving your wp_config.php file does not necessarily mean you have to move it only to the parent directory. Let's say you have a structure like /root/html, where html contains the WP installation and all of your HTML content. Instead of moving wp_config.php to /root, you could move it to something like /root/secure ... which is both outside the html directory and also not in the server root directory. Of course, you would need to make sure that php can run in this secure folder as well.

Since WP cannot be configured to look for wp_config.php in a sibling folder like /root/secure, you have to take an additional step. I left the wp_config.php in /root/html, and cut out the sensitive portions (database login, salt, table prefix) and moved them to a separate file called config.php. Then you add the PHP include command to your wp_config.php, like this: include('/home/content/path/to/root/secure/config.php');

This is essentially what I've done in my setup. Now, based on the above discussion, I am still evaluating whether it is necessary or even a good idea. But I just wanted to add that the above configuration is possible. It does not expose your backups and other root files, and so long as the secure folder is not set up with its own public URL, it is not browsable.

Furthermore, you can limit access to the secure folder by creating an .htaccess file in there with:

order deny,allow
deny from all
allow from 127.0.0.1

Esgibt viele schlechtgeschriebene Themen und Plugins,mit denen Atatcker Codeeinfügen können (denken Sie an das Sicherheitsproblemmit Timthumb). Wennichein Angreifer wäre,warum sollteichnach der Datei wp-config.php suchen? Fügen Sieeinfach diesen Codeein:

 var_dump( DB_NAME, DB_USER, DB_PASSWORD );
 

Sie können versuchen,Ihre wp-config.php auszublenden. Solange WordPress alle vertraulichen Informationenglobal zugänglichmacht,hates keinen Vorteil,die Datei wp-config.php auszublenden.

Der schlechte Teilin wp-config.phpistnicht,dasses vertrauliche Datenenthält. Der schlechte Teilbesteht darin,die vertraulichen Daten alsglobal zugängliche Konstante zu definieren.

Update

Ichmöchte die Problememit define() klären underklären,warumeseine schlechte Ideeist,vertrauliche Daten alsglobale Konstante zu definieren.

Esgibt viele Möglichkeiten,eine Website anzugreifen. Die Skriptinjektionistnureine Möglichkeit,eine Website anzugreifen.

Angenommen,der Server weisteine Sicherheitsanfälligkeit auf,durch dieein Angreifer aufeinen Speicherauszug zugreifen kann. Der Angreiferfindetim Speicherauszug alle Werte aller Variablen. Wenn Sieeine global zugängliche Konstante definieren,muss diesebis zum Ende des Skriptsim Speicherbleiben. Wenn Sieeine Variable anstelleeiner Konstantenerstellen,bestehteine gute Chance,dass der Garbage Collector den Speicher überschreibt (oderfreigibt),nachdem die Variablenichtmehrbenötigt wird.

Einbesserer Weg,um sensible Daten zu schützen,besteht darin,sie sofortnachihrer Verwendung zu löschen:

 $db_con = new stdClass();
$db_con->db_user = 'username';
$db_con->password = 'password';
$db_con->host = 'localhost';

$db_handler = new Database_Handler( $db_con );

$db_con = null;
 

Nach Verwendung der vertraulichen Daten werden die Datenim Speicher durch Zuweisen zu null überschrieben. Ein Angreifermuss den Speicherauszuggenauin dem Moment abrufen,in dem $db_con die vertraulichen Datenenthält. Und dasistim obigen Beispieleine sehr kurze Zeit (wenn die Klasse Database_Handler keine Kopie davon speichert).

There are a lot of bad written themes and plugins out there which allow atatckers to inject code (remember the security issue with Timthumb). If I would be a attacker, why should I search for the wp-config.php? Simply inject this code:

var_dump( DB_NAME, DB_USER, DB_PASSWORD );

You can try to hide your wp-config.php. As long as WordPress make all the sensitive information global accessible, it have no benefit to hide the wp-config.php.

The bad part in wp-config.php is not that it holds sensitive data. The bad part is to define the sensitive data as a global accessible constant.

Update

I want to clearify the problems with define() and why it is a bad idea to define sensitive data as a global constant.

There are a lot of ways to attack a website. Script injection is only one way to atack a website.

Assuming the server has a vulnerability that let an attacker access a memory dump. The attacker will find in the memory dump all values of all variables. If you define a global accessible constant, it have to stay in memory until the script ended. Creating a variable instead of a constant, there is a good chance that the garbage collector will overwrite (or free) the memory after the variable is not longer needed.

A better way to protect sensitive data is to delete them immediately after using it:

$db_con = new stdClass();
$db_con->db_user = 'username';
$db_con->password = 'password';
$db_con->host = 'localhost';

$db_handler = new Database_Handler( $db_con );

$db_con = null;

After using the sensitive data, the assigning to null will overwrite the data in memory. An attacker have to get the memory dump just in the moment when $db_con contains the sensitive data. And that is a very short time in the example above (if the class Database_Handler do not save a copy of it).

Estutmir leid,einen alten Beitrag zu stoßen,aberesgibt nichtnureine offensichtliche Lösungfür all dies. Wir wissen,dass das Verschieben der Datei wp-config.php aus dem WordPress-Routenverzeichniseinige Sicherheitsvorteilebietet. Einige würden argumentieren,dass die Vorteileminimal sind,anderenicht.

Auf der anderen Seite kanneseinige Nachteilegeben,die Datei ausihrem Standardspeicherort zu verschieben,z. B.einige Plugins zubeschädigen,dienicht über Funktionen verfügen,um an anderen Speicherortennach der Datei wp-config.php zu suchen.

Fürmichistes am offensichtlichsten,eine Datei secret-info.php außerhalb des WordPress-Routenverzeichnisses zuerstellen,die Variablenfür alle Ihre Benutzernamen und Kennwörterenthält,d. h.

$ userName=& quot; user & quot ;;

$ databasePassword=& quot; 12345 & quot ;;

Belassen Sie die Datei wp-config.phpim Standardverzeichnisfür WordPress-Routen,entfernen Sie die Wertefür Benutzername und Kennwort aus wp-config.php,belassen Siejedoch alles andere. Verweisen Sie danneinfach auf die Variablen $ userName und $ databasePassword,indem Sie secret-info.phpin wp-config.phpbenötigen,d. H.

require('PATH-TO-FILE/secret-info.php');

Scheintnaheliegend,vermisseich hieretwas?

Sorry to bump an old post but is there not just an obvious solution to all this. We know there is some security benefits from moving the wp-config.php file out of the wordpress route directory. Some would argue that the benefits are minimal others would not.

On the flip side there can be some drawbacks to moving the file out of it's default location such as breaking some plugins that do not have functionality to look for the wp-config.php file in other locations.

Most obvious thing to me is to create a secret-info.php file outside of the wordpress route directory which contains variables for all your usernames and passwords i.e.

$userName = "user";

$databasePassword = "12345";

Leave the wp-config.php file in the default wordpress route directory, remove the username and password values from wp-config.php but leave everything else. Then just simply reference the $userName and $databasePassword variable by requiring secret-info.php in wp-config.php i.e.

require('PATH-TO-FILE/secret-info.php');

Seems the obvious thing to do, am I missing something here ?

Abgesehen von den Sicherheitsvorteilen können Sie damit auch Ihre WordPress-Instanz unter Versionskontrolle halten undgleichzeitig die wichtigsten WordPress-Dateien als Submodul/externbehalten.So hat Mark Jaquith sein WordPress-Skeleton-Projekteingerichtet.Weitere Informationenfinden Sie unter https://github.com/markjaquith/WordPress-Skeleton#assumptions .

Apart from the security benefits, it also allows you to keep your WordPress instance under version control while keeping the core WordPress files as a submodule/external. This is how Mark Jaquith has setup his WordPress-Skeleton project. See https://github.com/markjaquith/WordPress-Skeleton#assumptions for details.