Sicherheitstest WordPress: der Reiter Test von CSDN

Ein Sicherheitstest WordPress dient nur einer Sache: zu wissen, ob der Schutz wirklich funktioniert, nicht nur, ob er eingeschaltet ist. Der Reiter „Test“ des Plugins CSDN führt zwei Live-Prüfungen aus. Er ändert keine Einstellung. Er kontrolliert die Website jetzt gerade.

Wo du den Sicherheitstest WordPress findest

Öffne Einstellungen > Cisilino Site Defense Network (Punkt 1 im Bild). Klicke auf den Reiter Test (Punkt 2). Du findest zwei Kästen:

• Punkt 3: „Prüfung der PHP-Ausführungsblockade in uploads“.
• Punkt 4: „Integrität der Plugin-Dateien“.

Nach jeder Schaltfläche führt dich die Website zum Reiter Allgemein zurück, mit einem Hinweis oben. Das Ergebnis steht aber im Reiter Test. Öffne ihn erneut, um es zu lesen.

Prüfung der PHP-Ausführungsblockade in uploads

Dieser Kasten prüft die Regel „PHP-Ausführung in wp-content/uploads blockieren“ aus dem Reiter Hardening / IDS, beschrieben im Kapitel Hardening / IDS. Der Text erklärt, dass es der einzige Weg ist, zu wissen, ob die Regel auf dieser Website wirklich wirksam ist. Ein deaktiviertes AllowOverride oder eine spezifischere Server-Blockade könnten sie nutzlos machen, ohne das zu melden.

Wie man es benutzt

1. Aktiviere im Reiter Hardening / IDS die Regel und klicke auf „Hardening-Regeln speichern“.
2. Öffne den Reiter Test.
3. Klicke im Kasten „Prüfung der PHP-Ausführungsblockade in uploads“ auf „Jetzt prüfen“.
4. Kehr zum Reiter Test zurück und lies das Ergebnis, mit der Zeile „Letzter Test:“ und dem Datum.

Ist die Regel nicht aktiv und gespeichert, ist die Schaltfläche deaktiviert. Der Kasten zeigt: „Aktiviere und speichere die Regel „PHP-Ausführung in wp-content/uploads blockieren“ im Reiter Hardening / IDS, bevor du den Test ausführen kannst.“.

Was der Test macht

Das Plugin schreibt in uploads eine kleine Test-.php-Datei. Es ruft sie per HTTP ab, mit einem Limit von 10 Sekunden. Danach löscht es sie sofort, in jedem Fall. Die Datei enthält nur eine Kontrollausgabe.

Wie man das Ergebnis liest

• Grün: „Blockade wirksam: Die Anfrage an die Testdatei erhielt N.“. Die Zahl ist 403 oder 404.
• Rot: „ACHTUNG: Die PHP-Testdatei wurde AUSGEFÜHRT (Antwort N).“ Die Regel blockiert nichts. Die Meldung schlägt vor, zu prüfen, ob AllowOverride .htaccess in diesem Ordner erlaubt und ob keine spezifischere <Directory>-Blockade existiert.
• Gelb: „Ergebnis unklar (Antwort N, Inhalt nicht erkannt): manuell mit einer direkten Anfrage an die Website prüfen.“.
• Blau: „Regel deaktiviert: aktiviere und speichere sie, bevor du den Test ausführst.“.
• Rot, für Fehler: „Uploads-Ordner konnte nicht bestimmt werden.“, „Testdatei konnte nicht in uploads geschrieben werden (Rechte?): Test nicht ausgeführt.“ oder „Prüfanfrage fehlgeschlagen“, mit dem Grund.

Achtung: Kann sich die Website nicht selbst erreichen, zum Beispiel wegen einer Firewall, eines HTTP-Passworts oder eines lokalen DNS, ergibt der Test einen Fehler oder ein unklares Ergebnis. Ein 404 zählt als Blockade, kann aber auch andere Gründe haben. Der Test prüft nur den Standardordner uploads. Für wenige Sekunden existiert eine .php-Datei in uploads: Funktioniert die Blockade nicht, kann sie ausgeführt werden, enthält aber nur eine Ausgabe.

Integrität der Plugin-Dateien

Das ist der zweite Teil des Sicherheitstest WordPress. Der zweite Kasten vergleicht die MD5-Hashes der .php-Dateien des Plugins mit den erwarteten. Er sucht geänderte, fehlende oder hinzugefügte Dateien. Die Prüfung startet von selbst einmal täglich. Die Schaltfläche „Jetzt prüfen“ führt sie sofort aus.

Der Kasten nennt eine feste Grenze: Wer schon Schreibzugriff auf die Dateien hat, kann auch die Hashes neu schreiben oder die Prüfung ausschalten. Es ist ein Detektor für Manipulationen, keine Barriere.

Wie man es benutzt

1. Öffne den Reiter Test.
2. Klicke im Kasten „Integrität der Plugin-Dateien“ auf „Jetzt prüfen“.
3. Lies den Hinweis: „Integritätsprüfung durchgeführt: das Ergebnis steht im Kasten „Integrität der Plugin-Dateien“.“.
4. Öffne den Reiter Test erneut und lies den Kasten.

Wie man das Ergebnis liest

Grün: „Alle N geprüften Dateien stimmen überein. Letzte Prüfung: Datum.“. Ist die Referenz eine Momentaufnahme, fügt der Kasten hinzu, dass er spätere Änderungen erkennt, nicht ein bei der Installation schon kompromittiertes Plugin. Rot: „ACHTUNG: Die Plugin-Dateien stimmen nicht mit den erwarteten überein.“, mit den Listen „Geändert“, „Fehlend“ und „Unerwartet“. Gelb: „Keine Referenz verfügbar“. In diesem Fall aktiviere das Plugin erneut.

Die manuelle Schaltfläche schreibt nicht ins Aktivitätsprotokoll. Das tut nur die geplante Prüfung, und nur wenn sie ein Problem findet oder wenn die Dateien nach einem Alarm wieder in Ordnung sind. Für die Details lies das Kapitel Überwachung der Uploads und Integritätsprüfung.

Achtung: Hast du eine Plugin-Datei von Hand geändert, ist der rote Alarm normal. Hast du das nicht getan, behandle die Website als potenziell kompromittiert: Installiere das Plugin aus einer zuverlässigen Kopie neu und prüfe den Rest der Installation.

Wenn etwas nicht funktioniert

Wiederhole den Sicherheitstest WordPress nach jeder Korrektur. Ergibt der PHP-Test Rot, schützt die Regel nicht. Frag dein Hosting, ob .htaccess aktiviert ist. Liest der Server .htaccess nicht, zum Beispiel bei nginx, hat die Regel keine Wirkung. Wiederhole den Test nach jeder Korrektur. Ein 403 ist die Antwort, die du sehen willst: Die MDN-Seite zum Statuscode 403 erklärt, was das bedeutet.

Vorheriges Kapitel: Überwachung der Uploads und Integritätsprüfung. Nächstes Kapitel: Paranoic Hardening: Sicherheitsheader und Administratorsitzung. Für das Kapitelverzeichnis geh zur Einführung des Handbuchs zurück.