Disaster bei Serverumstellung Zugriffe auf cache & asset Scripte verboten

[izanagi]

Hallo ihr lieben. Ich habe bereits das zweite mal jetzt Ärger mit Contao nachdem Provider irgendwas umgestellt haben.
und zwar sind Scripte im Front und Backend defekt, da sie nicht gelesen werden können. Das betrifft JS als auch CSS Dateien im Ordner "cache" und "assets" welcher auf 755 seteht.
Alle Dateien darin sind aber auf 660 und damit der Zugriff untersagt. Was zur Hölle ist das ?

Ich habe zehn mal den Cache bereinigt. Bei meinem ersten Fall, habe ich es gelöst bekommen nach zehn mal Cache reinigen und Dateien löschen. Jetzt stehe ich wieder vor dem Problem, aber die cache dateien generieren sich immer neu unter dem Attribut 660 ! Entsprechend ist natürlich das Backend ohne CSS völlig zerschossen. Keine Scripte laufen.

In den Error Logs des Webservers finde ich sowas hier

[Wed Sep 13 ] ModSecurity:  [file "/etc/httpd/conf/modsecurity.d/rules/tortix/modsec/20_asl_useragents.conf"] [line "382"] [id "397989"] [rev "1"] [msg "Atomicorp.com WAF Rules: MSIE 6.0 detected (Disable if you want to allow MSIE 6)"] [severity "WARNING"] Access denied with code 403 (phase 2). Match of "rx (MS Web Services Client Protocol|WormlyBot|webauth@cmcm\\\\.com)" against "REQUEST_HEADERS:User-Agent" required. 

oder auch

[Mon Sep 11] AH01071: Got error 'Primary script unknown\n'
[Mon Sep 18 ] (13)Permission denied: [client xxx] AH00132: file permissions deny server access: /var/www/vhosts/web..... 

letztere kam heute. ist hier contao infiziert worden ? Es handelt sich übrigens um zwei unterschiedliche Server. Sonst würde ich jetzt den Provider dafür verantwortlich machen. Aber schon komisch das es jetzt wieder passierte beim anderen Hoster.

EDIT: es geht hier um Contao 3.5

[tab]

Gibts da keinen Support, der dir zumindest mal sagen kann, was die gemacht haben? Wenn die es schon nicht für nötig hielten das anzukündigen? Von welchen Hoster sprechen wir denn überhaupt.? Hast du mal den Contao-Check laufen lassen?

[izanagi]

hi tab, immer schön von dir zu lesen
Den Contao Check hab ich seit jahren nicht mehr verwendet, guck ich mal wo ich den bekomme für 3.5
Der Hoster ist Tophoster. Die haben am 07.09 eine Änderung der Oberfläche eingeführt sowie in deren Firewall !
Ich habe diese Mitteilung schlicht verpennt. jetzt wird so einiges klar von wegen Firewall.

habe einen Link zu einer Hilfestellung gefunden. Klingt kompliziert, das muss ich mir erst durchlesen wie das Sicherheitssystem gelockert werden kann.
WENN es denn der Auslöser des ganzen ist... ich hab keine Ahnung.


EDIT:

Fehlende Dateien

    .htaccess.default

Beschädigte Dateien

    system/themes/tinymce.css

Ihre Installation ist nicht aktuell. 

Das ist alles.

[tab]

Das ist ja schon mal beruhigend, scheint nichts kaputt zu sein an der Installation. Aber was sagt der Check sonst noch? Insbesondere zum Erzeugen von Dateien und Ordnern? Darf der Apache das und wem gehören dann die Dateien und welche Rechte sind gesetzt? Aber die Hilfestellung erst mal zu lesen ist sicher hilfreich.

[izanagi]

Sieht schlecht aus. Support keine Reaktion ausser die übrlichen Automatik Antworten das ich einen Link besuchen soll.
In den FAQ steht was von Firewall Konfig. Jedoch ist mein Reseller nicht für diese Konfig authorisiert. Ich kann also garnix machen.
Super.

Der Contao Check sagt ja sonst garnichts aus, ausser das alles läuft.

[tab]

Ja, von Tophoster hört man in letzter Zeit leider nicht mehr viel Gutes. Viele Kunden von Tophoster klagen über katastrophale Zustände seit der Übernahme durch Dogado. So nach dem Motto, PHP 5.5 eingestellt, PHP 5.2 bekommen. Oder sehr schlecht erreichbaren und langsamen Support. Nichts gegen neue Sicherheitsfeatures, aber funktionieren sollte halt trotzdem noch alles. Da ist noch ein Reseller zwischengeschaltet? Dann schiebe doch dem mal den schwarzen Peter weiter. Ist ja eigentlich nicht dein Problem sondern seines, wenn er nicht dafür authorisiert ist, irgendwelche notwendigen Einstellungen zu machen. Dann muss er halt dafür sorgen, dass es jemand macht, der dafür authorisiert und zuständig ist.

[izanagi]

Danke für die Bestätigung. Das ist in der Tat so.
Der Support hat auch schon 3 Mails erhalten. Morgen telefoniere ich mal mit denen. Das geht so nicht. Es sind wirtschaftlich abhängige produktive Webseiten.
Für den ein oder anderen ist das ein Disaster wenn der Betrieb tot ist. Scheint den Hoster ja nicht zu interessieren.

Also wenn wir das gedanklich mal durchgehen. Ich lösche den gesamten cache Ordner... Contao regeneriert dann alle nötigen dateien erneut. Jedoch "wieder" unter 640 und nicht 644.
Ein Contao script das die cache dateien erstellt, kommuniziert doch sicher über php mit dem server und fragt um erlaubnis oder ? Oder setzt es selbstständig die Dateien mit den Rechten ?
Irgendwas muss da beim erstellen schieflaufen um die Rechte den Dateien zu geben, daraus kommt dann 640.
Vielleicht die PHP Version schuld ? Oder diese neue Firewall die die Script Anfrage blockiert ?

[tab]

Contao setzt da gar keine Rechte. Es erzeugt Dateien und Ordner - oder versucht es jedenfalls. Welche Rechte dann dafür gesetzt sind, das ist Sache des Servers/Apache. Das ist eine Konfigurationssache. Deswegen hatte ich mich auch für die entsprechende Ausgabe beim Contao-Check interessiert. Also z.B. ob die Testordner und Dateien angelegt werden konnten und falls ja, welchem User sie dann gehören und welche Rechte für sie eingestellt sind. Wenn der Check oder Contao das bestimmen könnte, dann müsste der Check das nach dem Erzeugen nicht prüfen. Bei manchen Hostern kann man allerdings auswählen, mit welchem Owner die Dateien angelegt werden sollen. Manchmal gibt es auch verschiedene PHP-Versionen zur Auswahl, also nicht nur Versionsnummern, sondern auch noch ob die z.B. als Apache-Modul oder als FastCGI/FPM laufen sollen.

Alles was im Cache angelegt wird, wird von Contao angelegt. Somit ändern sich dadurch Dateirechte in der Regel nicht. Nur wenn die alten Cachedateien vor einer Umstellung des Servers/der PHP-Version erzeugt wurden, kann sich beim Löschen und Neuanlegen des Caches an den Rechten was ändern.

[izanagi]

Ich habe jetzt vorübergehend manuell alle Dateien im Ordner asset und cache auf 644 gesetzt. Jetzt werden wieder css und js geladen. Aber das kann kein Dauerzustand werden. Die tempdateien regenerieren sich ja auch wieder und dann ist wieder alles beim alten. Aktuell geht es.

Sorry das ich dir nicht im ganzen geantwortet habe, ich hab das erst jetzt gesehn das der check noch mehr infos bereitstellt über den Link.
Also hier nochmal alles:

php.ini-Einstellungen

Der PHP safe_mode ist nicht aktiv.
Erstelle einen Testordner

Der Testordner wurde erstellt (Besitzer: web507, Zugriffsrechte: 770).
Erstelle eine Testdatei

Die Testdatei wurde erstellt (Besitzer: web507, Zugriffsrechte: 660).

Der PHP-Prozess darf Dateien auf Ihrem Server erstellen. 

PHP 5.4.0 oder größer

Sie haben die PHP-Version 5.4.45.
PHP GDlib extension

The PHP GDlib extension is enabled.
PHP DOM extension

The PHP DOM extension is enabled.

You can install Contao 3.x on this server. 

PHP 5.3.4 oder größer

Sie haben die PHP-Version 5.4.45.
PHP Phar-Erweiterung

Die PHP Phar-Erweiterung ist aktiv.
PHP cURL-Erweiterung

Die PHP cURL-Erweiterung ist verfügbar.
PHP APC-Erweiterung

Die PHP APC-Erweiterung ist nicht installiert.
Suhosin-Erweiterung

Die Suhosin-Erweiterung ist nicht installiert oder korrekt für die Nutzung von .phar-Dateien konfiguriert.
allow_url_fopen

Das PHP-Flag "allow_url_fopen" ist gesetzt.
Dateirechte

Der PHP-Prozess darf Dateien erstellen.
shell_exec (optional)

Die PHP-Funktion "shell_exec" ist verfügbar.
proc_open (optional)

Die PHP-Funktion "proc_open" ist verfügbar.

Sie können die Composer-Paketverwaltung auf diesem Server verwenden. 

PHP SOAP-Erweiterung

Die PHP SOAP-Erweiterung ist verfügbar.
PHP OpenSSL-Erweiterung

Die PHP OpenSSL-Erweiterung ist aktiv.
Verbindungstest

Die Verbindung zu contao.org konnte hergestellt werden.

Sie können das Extension Repository auf diesem Server verwenden. 

Die Testdatei sagt ja schon alles

[izanagi]

Mir ist noch etwas gerade aufgefallen. Die Bilder im Ordner "html" sind auch alle gesperrt. Ebenso 640.
habe dem Provider geschrieben das es an deren Server Konfigs liegen muss

[Spooky]

Ich denke schneller ist es den Hoster zu wechseln

[tab]

Naja, die Rechte müssen nicht immer unbedingt 644 und 755 sein. Bei 1&1 sind die auch anders. Aber es kommt dann halt drauf an, unter welchem User und Gruppe der Apache dein PHP ausführt. Jedenfalls sollen sie dafür sorgen, dass es wieder läuft. Oder zumindest eine Anleitung zur Verfügung stellen, wie du das selbst hinbekommen kannst.

Wenn die Geschichte für die Webseitenbetreiber bei einem längeren Ausfall ein echtes wirtschaftliches Problem bedeutet, dann würde ich mir überlegen, die Seiten kurzfristig woanders online zu stellen - oder mich wenigstens darauf vorzubereiten. Nur für den Fall, dass die Damen und Herren vom Support bei Tophoster auch weiterhin ihre phänomenale neue Geschwindigkeit bei der Lösung von Problemen beibehalten - womit es sich ja dann höchstens um Wochen handeln könnte.

[izanagi]

Wollte nur bescheid sagen das ich jetzt seit einer Woche tagtäglich die Dateirechte manuell ändern muss, weil Contao ja ständig den Cache neu schreibt.
So langsam wird es echt lächerlich. Der Hoster hat es an die "Spezial Abteilung" geschickt, da das Callcenter nur begrenzt auf "FAQ Frage Antwort" Spiele reagiert und natürlich keine Ahnung haben.
Übrigens funktionieren auch die Emailpostfächer nicht mehr
Also wirtschaftliche Katastrophe für jeden Unternehmer.
Damals herrschte das SpamShield, da musste ich in jeder Domain eine lange TXT Beschreibung im nameserver hinterlegen. Jetzt haben die aber auch die Mailserver geändert und laufen über SpamExpert.
Das heisst die Emails kommen nicht an da falsch konfiguriert. Ich habe jetzt alle Nameserver neu konfiguriert.

Habt ihr eigentlich Erfahrung mit dieser neuen Web Application Firewall ?? Harmoniert das mit Contao gut ?
Die haben das bei der Umstellung automatisch auf "aktiv" geschaltet was ich persönlich als sehr grob fahrlässig sehe. Das muss ja auch individuell mit dem CMS getestet werden.
Habs mal ausgeschaltet, aber Contao generiert dennoch 640 ohne Zugriff. Darin wirds nicht liegen.

[lucina]

Kurzer Ratschlag: Geh da weg, und zwar sofort.

Ein Hoster, der nicht in der Lage ist, die Maske für die Rechte serverseitig erstellter Dateien (und nichts anderes sind Assets) zu konfigurieren, der kann meistens auch etliche andere Dinge nicht. Auch die Fehlfunktion der Mailpostfächer geht ganz sicher nicht auf Contao zurück (wobei TXT-Einträge eigentlich eine gute Idee sein kann, wobei bessere Hoster das zum Versand ganz gewiss nicht brauchen).

Ich hatte einen Kunden bei der Firma. Im vergangenen Jahr, kurz nach der Übernahme. Die wurden noch patzig, als ich nach einer Woche in der ergebnislosen Supportschleife dann den Kunden zur Kündigung gedrängt habe.

[izanagi]

ach krass, hätte nicht gedacht das doch so einige schon mit denen im Kontakt standen. Da muss ich mir wohl ernsthaft mal Gedanken machen.

[Samson1964]

Tophoster - die Selbstüberschätzung steckt schon im Namen [emoji3]

Gesendet von meinem L52 mit Tapatalk

[tschero]

ach krass, hätte nicht gedacht das doch so einige schon mit denen im Kontakt standen. Da muss ich mir wohl ernsthaft mal Gedanken machen.

Eine gute Alternative ist das Webhostingpaket 8000 von Netcup. Ist zwar noch BETA(oder gerade so eben aus diesem Status heraus) aber Contao läuft bisher auch mit dem Contao Manager einwandfrei und schnell.

Bin auch gerade am Wechseln von 1und1 weg, da bekomme ich seit über 4 Wochen Supportinfo´s ala "Wir sind noch dran und haben noch keine Lösung".

Gruß
tschero

[mlweb]

Bin auch gerade am Wechseln von 1und1 weg, da bekomme ich seit über 4 Wochen Supportinfo´s ala "Wir sind noch dran und haben noch keine Lösung".

Gratulation. Dann reihst Du Dich also auch in die lange Reihe derer ein, die trotz aller Bemühungen keine realistische Chance auf Veränderungen sehen.

[tschero]

So isses,

ist zwar traurig und für meine paar Kunden auch lästig aber was soll ich machen wenn das Hosting mit der neuen Version nicht vernünftig umgehen kann.
Bisher kann ich mich über Netcup jedenfalls überhaupt nicht beschweren.
Ist zwar eine gänzlich andere Benutzeroberfläche aber es läuft alles einwandfrei UND man hat für jede Domain das Let´s Encrypt Zertifikat. Bei 1und1 bezahlst Du ab dem zweiten.

Gruß
tschero

[mlweb]

Bei Netcup 8000 hostest Du da mehrere Deiner Kunden?

[tschero]

Nein, das ist nur mein eigenes Webhosting. Ich selbst biete das nicht an.

Da habe ich dann aber, wenn alles fertig ist, mehrere Domains/Websites laufen; u.a. dann auch die beiden aus meiner Signatur.

Wenn sich 1und1 nicht bis zur Mitte des nächsten Jahres rührt und nachbessert werde ich jedem Kunden das 8000ér empfehlen.
Die haben alle Unlimited Plus für ca. 9,90€ und das 8000ér kostet genau so viel und hat bisher 12 .de Domains inkl.

Gruß
tschero

[tab]

Aber da hast du keinen "unlimited" Webspace . Bei 1&1 hatte ich den, leider war er nicht unbegrenzt, da man leider nur 262144 Dateien und Verzeichnisse anlegen konnte. Mit knapp 10 GB an Dateien war mein unbegrenzter Webspace dann auch schon voll, Contao beinhaltet leider ziemlich viele kleine Dateien. Nazürlich hätte ich meine Testinstallationen in ein Archiv packen und nur bei Bedarf entpacken können. Aber irgendwie entsprach das nicht meinem Verständnis von "Unlimited Webspace". Und das Ding hat immerhin fast 20€ pro Monat gekostet. Contao 4/Manager trotzdem Fehlanzeige. Bei Webgo haben sie meine Frage gar nicht verstanden, als ich erst mal gefragt habe, wieviele Dateien ich denn insgesamt haben könnte.

[izanagi]

So Leute... nach 4 Wochen haben sie es dann geschafft.

Unser Operations-Team konnte herausfinden, dass es sich dabei um ein Bug handelte der im Zusammenhang mit CentOS und den Sicherheitsregeln auftrat. Diesen Bug konnten wir nun mit der Servertechnik beseitigen.

[tab]

"Bug", das neue Wort für Fehlkonfiguration.