WordPress und Dateirechte

Vor einigen Jahren stand für mich die Frage im Raum „Ist WordPress sicher?“ – Meine Antwort damals war nein! Und auch heute sehe ich es genauso. Allerdings, auch der Straßenverkehr ist unsicher. Und ich bin mir sicher, Du nimmst genau wie ich jeden Tag, in welcher Form auch immer, daran teil.

Und wie im Straßenverkehr kommt es bei WordPress auf Dein umsichtiges Handeln an. Heute möchte ich mit Dir die WordPress-Dateirechte etwas genauer betrachten.

Der kurze Weg sieht so aus: Ich nenn Dir ein paar Links oder schmeiße Dir fast unkommentiert ein „so geht‘s“ vor die Füße und hoffe, dass Du Dich jedes Mal daran halten wirst. – So machen wir das nicht!

Denn Du hast schon mal die Verzeichnisrechte im Webspace auf 777 gestellt, damit eben alles ohne Probleme läuft. Habe ich auch schon getan. Hast Du auch daran gedacht, hinterher aufzuräumen, oder befällt Dich gerade ein schlechtes Gewissen, weil das genau der Teil ist, vor dem Du Dich schon seit Wochen oder Monaten drückst?

Die schlechte Nachricht ist, Du trägst eine Mitschuld, wenn Dein WordPress erfolgreich angegriffen wird. Aber die gute Nachricht: Du kannst es besser machen. Jetzt sofort!

Im Codex von WordPress findest Du eine lange Liste, was Du alles tun kannst, damit Dein WordPress sicherer wird. Darin enthalten ist auch der Punkt der Dateirechte.

Als grobe Faustregel kann man sagen, alle Verzeichnisse bekommen die Rechte 755 und die Dateien 644. Dies kann und wird, je nach Hostinganbieter, mal mehr und mal weniger gut umgesetzt werden. Und falls Du gerade „Hä?!“ denkst, ist hier die Erklärung, was das genau bedeutet.

Bei den meisten Anbieter von Webspace nutzen linuxbasierte Server. Und diese vergeben die Dateirechte wie folgt:

Zunächst gibt es drei Benutzergruppen, für die Dateirechte vergeben werden können:

• Besitzer (Du, Dein FTP Benutzer-Konto)
• Gruppe (idR wird dies die Gruppe FTP sein, in der Dein Benutzer ist.)
• öffentlich (PHP, jeder)

Pro Benutzergruppe können folgende Dateirechte vergeben werden:

• Keine Rechte: 0
• Ausführen bei Dateien und Auflistung von Ordnerinhalten: 1
• Schreiben in Dateien und Ordner: 2
• Lesen von Dateien und Ordnern: 4

Diese „Einzelrechte“ lassen sich nun ganz einfach kombinieren und errechnen. Zum Beispiel ergibt Lesen und Schreiben 6. Dementsprechend bedeutet 7 Ausführen, Schreiben und Lesen.

Und nun, hoffe ich, sind Dir die Zahlenwerte der Dateirechte etwas verständlicher, wenn von 755 oder 644 die Rede ist.

Was passiert also, wenn Du Deine Dateirechte unüberlegt setzt und Schreibzugriffe erlaubst? – Richtig, es wird jemand bemerken und sich zunutze machen.

Ein entsprechendes PHP Skript ruft die Dateien von WordPress auf. Durch bekannte Sicherheitslücken, die man durch regelmäßige Updates schließen kann, wird ein Schadcode hinterlegt und schon ist Dein WordPress infiziert.

Anders läuft es, wenn die Dateirechte so gesetzt sind, dass Schreiben nicht geht. Zwar dringt der Angreifer immer noch durch die Sicherheitslücke ein, kann jedoch seinen Schadcode nicht schreiben. Das ist zwar immer noch ärgerlich, aber eben im Vergleich nicht mehr als ein Ärgernis.

Denn was alles passiert vom Verlust der ganzen Seite bis hin zu „etwas Werbung“, findest Du in jedem Fall erst viel zu spät raus.

Eine wirklich gelungene Erklärung, warum es sehr wichtig ist, Dateirechte richtig zu setzen, hat Ernesto Ruge geschrieben. Lies es Dir durch und denk einfach das nächste Mal daran, wenn Du auf dem FTP ein paar Rechte änderst.