PHP-Ausführung in WordPress-Verzeichnissen sperren

PHP-Ausführung in WordPress-Verzeichnissen sperren: Eine umfassende Anleitung für Deutschland

Die Sicherheit einer WordPress-Website ist für Website-Betreiber in Deutschland von größter Bedeutung. Ein wichtiger Aspekt der WordPress-Sicherheit ist die Verhinderung der PHP-Ausführung in Verzeichnissen, in denen sie nicht benötigt wird. Dies reduziert das Risiko, dass Hacker schädlichen Code hochladen und ausführen können, selbst wenn eine Sicherheitslücke in einem Plugin oder Theme besteht. Diese Anleitung erklärt, wie man die PHP-Ausführung in unnötigen Verzeichnissen sperrt und die Sicherheit Ihrer WordPress-Installation erhöht.

Warum die PHP-Ausführung sperren?

Standardmäßig erlaubt WordPress die Ausführung von PHP-Dateien in allen Verzeichnissen innerhalb der WordPress-Installation. Dies ist notwendig, damit WordPress, Themes und Plugins ordnungsgemäß funktionieren. Allerdings sind viele Verzeichnisse, wie z.B. der “uploads”-Ordner, nicht für die Ausführung von PHP-Code gedacht. Wenn ein Angreifer eine PHP-Datei in diesen Ordner hochladen kann, beispielsweise über eine Sicherheitslücke in einem Plugin, kann er diese Datei ausführen und möglicherweise die gesamte Website kompromittieren. Indem man die PHP-Ausführung in diesen Verzeichnissen deaktiviert, kann man diese Angriffsfläche erheblich reduzieren.

Der Schutz vor böswilligen Uploads ist besonders wichtig, da diese häufige Angriffspunkte für WordPress-Websites darstellen. Angreifer nutzen Schwachstellen in Plugins oder Themes aus, um schädliche Dateien hochzuladen, die dann über PHP ausgeführt werden können. Diese Dateien können verwendet werden, um Backdoors zu erstellen, Daten zu stehlen oder die Website für andere Zwecke zu missbrauchen.

Welche Verzeichnisse sollten geschützt werden?

Die folgenden Verzeichnisse sind typische Kandidaten für die Deaktivierung der PHP-Ausführung:

• /wp-content/uploads/: Dieser Ordner speichert alle hochgeladenen Mediendateien (Bilder, Videos, Dokumente). PHP-Dateien sind hier nicht notwendig.
• /wp-includes/: Während dieser Ordner essenzielle WordPress-Dateien enthält, sollten hier keine ausführbaren Skripte von Dritten liegen. Das Deaktivieren kann hier jedoch komplexer sein und sollte mit Vorsicht erfolgen.
• Theme-Verzeichnisse, die keine PHP-Dateien zur Darstellung verwenden: Einige Themes nutzen den uploads-Ordner des Themes für Assets wie Bilder.

Methoden zur Sperrung der PHP-Ausführung

Es gibt verschiedene Methoden, um die PHP-Ausführung in bestimmten Verzeichnissen zu sperren. Die gängigsten Methoden sind:

1. Verwendung einer .htaccess-Datei

Die .htaccess-Datei ist eine Konfigurationsdatei für den Apache Webserver (der in Deutschland weit verbreitet ist). Sie ermöglicht es, serverseitige Einstellungen für ein bestimmtes Verzeichnis und seine Unterverzeichnisse zu definieren. Um die PHP-Ausführung zu sperren, kann man eine .htaccess-Datei in das jeweilige Verzeichnis (z.B. /wp-content/uploads/) legen, die die entsprechende Konfiguration enthält.

Der empfohlene Inhalt der .htaccess-Datei lautet:

<Files *.?php*>
    deny from all
</Files>

Diese Anweisung blockiert den Zugriff auf alle Dateien, deren Namen mit .php enden oder .php enthalten. Dadurch wird verhindert, dass PHP-Dateien ausgeführt werden können.

Wichtiger Hinweis: Stellen Sie sicher, dass Ihre WordPress-Installation auf einem Apache-Server läuft, bevor Sie diese Methode verwenden. Andere Webserver (z.B. Nginx) verwenden andere Konfigurationsmethoden.

2. Verwenden von Webserver-Konfigurationen (Nginx, Apache)

Für fortgeschrittene Benutzer ist die direkte Konfiguration des Webservers (Apache oder Nginx) eine Alternative zur Verwendung von .htaccess-Dateien. Diese Methode ist effizienter, da der Webserver die Konfiguration nur einmal einliest und nicht für jede Anfrage die .htaccess-Datei verarbeiten muss.

Apache:

In der Apache-Konfiguration (z.B. httpd.conf oder apache2.conf) kann man eine <Directory>-Direktive verwenden, um die PHP-Ausführung zu sperren:

<Directory /path/to/your/wordpress/wp-content/uploads>
    <Files *.?php*>
        deny from all
    </Files>
</Directory>

Ersetzen Sie /path/to/your/wordpress/wp-content/uploads durch den tatsächlichen Pfad zum uploads-Verzeichnis Ihrer WordPress-Installation. Nachdem Sie die Konfiguration geändert haben, müssen Sie den Apache-Server neu starten, damit die Änderungen wirksam werden.

Nginx:

Bei Nginx erfolgt die Konfiguration in der nginx.conf-Datei oder in den Konfigurationsdateien für die einzelnen virtuellen Hosts. Man kann die PHP-Ausführung sperren, indem man einen Location-Block hinzufügt:

location ~* /wp-content/uploads/.*.php$ {
    deny all;
    return 403;
}

Diese Konfiguration verhindert den Zugriff auf alle PHP-Dateien im /wp-content/uploads/-Verzeichnis und gibt einen 403-Fehler (Forbidden) zurück. Auch hier muss Nginx nach der Änderung der Konfiguration neu gestartet werden.

3. Verwendung von WordPress-Plugins

Für Benutzer, die sich mit der manuellen Konfiguration von .htaccess-Dateien oder Webservern nicht auskennen, gibt es verschiedene WordPress-Plugins, die die PHP-Ausführung in bestimmten Verzeichnissen sperren können. Diese Plugins bieten eine benutzerfreundliche Oberfläche und automatisieren den Prozess.

Einige Beispiele für solche Plugins sind:

• “Disable PHP Execution”
• “WP Hardening” (bietet diese Funktion als Teil eines umfassenderen Sicherheitspakets)
• Viele andere Sicherheits-Plugins, die diese Funktionalität integriert haben

Achten Sie bei der Auswahl eines Plugins darauf, dass es gut bewertet, aktiv gewartet und mit Ihrer WordPress-Version kompatibel ist.

Testen der Sperrung

Nachdem Sie die PHP-Ausführung in einem Verzeichnis gesperrt haben, sollten Sie unbedingt testen, ob die Sperrung funktioniert. Erstellen Sie dazu eine einfache PHP-Datei (z.B. test.php) mit folgendem Inhalt:

<?php
echo "Test erfolgreich!";
?>

Laden Sie diese Datei in das geschützte Verzeichnis (z.B. /wp-content/uploads/) hoch und versuchen Sie, sie über Ihren Browser aufzurufen (z.B. https://www.example.com/wp-content/uploads/test.php). Wenn die Sperrung korrekt funktioniert, sollten Sie entweder eine Fehlermeldung (z.B. 403 Forbidden) sehen oder der Download der PHP-Datei sollte erzwungen werden. Der Text “Test erfolgreich!” sollte *nicht* angezeigt werden.

Wichtige Hinweise und Vorsichtsmaßnahmen

Beachten Sie bei der Sperrung der PHP-Ausführung die folgenden Punkte:

• Sichern Sie Ihre Website: Bevor Sie Änderungen an Ihrer .htaccess-Datei oder Webserver-Konfiguration vornehmen, erstellen Sie ein Backup Ihrer Website. So können Sie im Falle eines Fehlers schnell zum vorherigen Zustand zurückkehren.
• Überprüfen Sie die Kompatibilität: Manche Themes oder Plugins könnten auf die Ausführung von PHP-Dateien in bestimmten Verzeichnissen angewiesen sein. Testen Sie Ihre Website gründlich, nachdem Sie die PHP-Ausführung gesperrt haben, um sicherzustellen, dass alles ordnungsgemäß funktioniert.
• Aktualisieren Sie Ihre Sicherheitsmaßnahmen regelmäßig: Die Sperrung der PHP-Ausführung ist nur eine von vielen Sicherheitsmaßnahmen, die Sie ergreifen sollten. Halten Sie Ihre WordPress-Installation, Themes und Plugins auf dem neuesten Stand und verwenden Sie starke Passwörter.

Die Sicherheit Ihrer WordPress-Website ist ein fortlaufender Prozess. Indem Sie die PHP-Ausführung in unnötigen Verzeichnissen sperren, reduzieren Sie das Risiko von Angriffen und tragen dazu bei, die Integrität Ihrer Website zu gewährleisten. Regelmäßige Überprüfungen der Sicherheitskonfiguration und zeitnahe Updates sind unerlässlich für einen langfristigen Schutz.