Risiko beschreibbarer Verzeichnisse
- PHP und andere ausführbare Dateitypen erfassen
- Erweiterung, MIME-Typ und tatsächlichen Inhalt vergleichen
- Zeitstempel mit dem Ablauf des Sicherheitsvorfalls abgleichen
- Zwischenspeicher neu erzeugen statt unbekannte Dateien blind zu übernehmen
- Datensicherungen getrennt untersuchen und nicht überschreiben
Keine pauschale Löschregel
Uploads können geschäftskritische Originaldateien enthalten. Erst sichern und klassifizieren, dann gezielt entfernen oder ersetzen.
Prävention
Wo technisch möglich, wird die Ausführung von PHP in reinen Datenverzeichnissen gesperrt. Datensicherungen liegen außerhalb des öffentlich erreichbaren Website-Verzeichnisses, sind zugriffsgeschützt und werden mit Wiederherstellungstests überprüft. Zwischenspeicher werden aus vertrauenswürdiger Konfiguration neu aufgebaut.
Warum sind Uploads ein attraktiver Ablageort?
Uploads müssen für die Anwendung häufig beschreibbar sein und enthalten viele legitime Dateien. Schadcode kann dort zwischen Bildern oder Dokumenten weniger auffallen. Doppelte Erweiterungen, falsche MIME-Typen und verschleierter PHP-Code sind Hinweise; die Bewertung muss jedoch den tatsächlichen Inhalt und die Serverkonfiguration berücksichtigen.
Eine .php-Datei ist in einem reinen Medienordner ungewöhnlich, aber nicht jede unbekannte Datei ist ausführbar. Entscheidend ist, ob Webserver oder PHP-Handler sie ausführen und welcher Request sie erreichen konnte.
Warum muss Cache getrennt bewertet werden?
Caches enthalten erzeugte Kopien, minimierte Skripte und temporäre Daten. Ein Treffer kann aus kompromittiertem Quellcode reproduziert worden sein oder nur eine alte Kopie darstellen. Sichern Sie relevante Beispiele, beseitigen Sie die Quelle und erzeugen Sie den Cache aus geprüfter Konfiguration neu.
CDN- und Proxy-Caches können schädliche Antworten nach der Bereinigung weiter ausliefern. Leeren Sie sie kontrolliert und prüfen Sie danach mehrere URLs und Requestvarianten.
Wie werden Backupdateien behandelt?
Backups sind eigenständige Untersuchungsobjekte. Sie können Schadcode, Datenbankpersistenz oder offen erreichbare Archive enthalten. Kopieren Sie sie in geschützte Analyseablage, dokumentieren Sie Zeitpunkt und Herkunft und öffnen Sie sie nicht im produktiven Webroot.
Die Entscheidung zwischen Wiederherstellung und Neuaufbau erläutert der Beitrag zu kompromittierten Datensicherungen. Nach der Bereinigung prüft die Checkliste zur WordPress-Absicherung Ausführungssperren, Speichertrennung und Wiederherstellungstests.