XAMPP unter Windows 7 sicher?

[Sören]

Hallo,
ich möchte in PHP einsteigen und daher XAMPP installieren.
Ist damit ein Einfallstor für Viren und anderes Ungeziefer aus dem Internet geöffnet oder kann man den (als Anfänger) so einrichten, dass niemand von außen den als Server missbraucht?
Gruß
Sören

[Der Martin]

Hi,

ich möchte in PHP einsteigen und daher XAMPP installieren.
Ist damit ein Einfallstor für Viren und anderes Ungeziefer aus dem Internet geöffnet oder kann man den (als Anfänger) so einrichten, dass niemand von außen den als Server missbraucht?

ich weiß nicht, wie die Default-Konfiguration von XAMPP das macht. Aber man kann den Apachen so einrichten, dass er nur auf Anfragen von localhost reagiert. Dann ist er von außerhalb nicht erreichbar.
Zusätzlich hast du bestimmt noch einen kleinen Router zwischen dem PC und dem Internet. Der blockt Anfragen "von draußen" auch noch ab, solange er nicht explizit eine Anweisung bekommt, bestimmte Pakete an einen der internen Hosts weiterzuleiten (Port Forwarding Rule). In Standardkonfiguration leitet er nur ankommende Datenpakete weiter, die zu einer *Antwort* von einem der internen Hosts gehören.

Unterm Strich also: Die Existenz eines Apache-Servers auf deinem Rechner stellt normalerweise kein zusätzliches Risiko dar. Allerdings können deine PHP- und Perl-Scripte natürlich aufs Internet zugreifen und so im Fehlerfall von sich aus Dinge tun, die du nicht wirklich willst - etwa Dateien von deinem Rechner preisgeben. Das liegt dann in deiner Verantwortung.

So long,
 Martin

[dedlfix]

Hi!

ich weiß nicht, wie die Default-Konfiguration von XAMPP das macht. Aber man kann den Apachen so einrichten, dass er nur auf Anfragen von localhost reagiert.

Die aktuell gezogene Version hat da nur ein Listen 80 konfiguriert, lauscht also auf allen Netzwerkinterfaces.

Zusätzlich hast du bestimmt noch einen kleinen Router zwischen dem PC und dem Internet. Der blockt Anfragen "von draußen" auch noch ab, solange er nicht explizit eine Anweisung bekommt, bestimmte Pakete an einen der internen Hosts weiterzuleiten (Port Forwarding Rule).

WLAN ist auch ein beliebtes Einfallstor, aber wenn das nicht abgesichert ist, oder die Rechner im internen Netz selbst, braucht es auch den XAMPP nicht, um Angriffspunkte zu liefern.

Lo!

[Joerg]

Hi!

ich weiß nicht, wie die Default-Konfiguration von XAMPP das macht. Aber man kann den Apachen so einrichten, dass er nur auf Anfragen von localhost reagiert.

WLAN ist auch ein beliebtes Einfallstor, aber wenn das nicht abgesichert ist, oder die Rechner im internen Netz selbst, braucht es auch den XAMPP nicht, um Angriffspunkte zu liefern.

So ist es ;)

Standardmässig ist Folgendes konfiguriert:
listen 127.0.0.1   #Localhost
port 80

Der Apache lauscht also auf 127.0.0.1:80. Das ist der Standard und bedeutet, der Apache spricht nur auf lokale Requests aus deinem Browser auf deinem Rechner an.

Solange du deinen Rechner nicht z. B. via DynDNS in das Internet stellst, bist du damit sicher. Weiteres musst du dann in der httpd.conf & .htaccess einstellen. Hier ist ein wenig Sachkenntnis erforderlich ;)

XAMPP erlaubt alles (= Standard), was nicht verboten ist.

Ich empfehle den WAMP, weil da muss erst alles erlaubt werden, damit es nicht verboten ist (was aber für Einsteiger nicht immer schnell ersichtlich ist). Außerdem lässt sich WAMP besser konfigurieren (flott per Maus-Klick  eine andere Apache-, PHP- oder MySQL-Version eingespielt, Server neu gestartet, etc...).

XAMPP ist erklärtermaßen ein Entwickler-Server, der dem Anwender größtmögliche Freiheit geben soll und ist ausdrücklich nicht für den Produktiv-Einsatz vorgesehen. Also fürs Basteln am heimischen Rechner.

Nimm WAMP, du wirst ihn lieben ;)

HTH,
Joerg

[dedlfix]

Hi!

Standardmässig ist Folgendes konfiguriert:
listen 127.0.0.1   #Localhost
port 80

Hast du eine andere Version als ich getestet? Ich fand nur ein Listen 80. Auch ein netstat -na zeigt 0.0.0.0:80 und nicht 127.0.0.1:80, was bedeutet, dass er überall lauscht.

Der Apache lauscht also auf 127.0.0.1:80. Das ist der Standard und bedeutet, der Apache spricht nur auf lokale Requests aus deinem Browser auf deinem Rechner an.

Das widerspricht meinen Beobachtungen.

Solange du deinen Rechner nicht z. B. via DynDNS in das Internet stellst, bist du damit sicher.

Das ist aber zu deiner eigenen Aussage unsinnig, denn wenn er wirklich nur an 127.0.0.1:80 lauschte, ist es (ohne weiteres Routing/NAT/whatever) egal, ob da noch ein Internet am Rechner hängt oder nicht.

Lo!

[suit]

Zusätzlich hast du bestimmt noch einen kleinen Router zwischen dem PC und dem Internet. Der blockt Anfragen "von draußen" auch noch ab, solange er nicht explizit eine Anweisung bekommt, bestimmte Pakete an einen der internen Hosts weiterzuleiten (Port Forwarding Rule).

Genauer gesagt blockt ein NAT-Router nicht, er ignoriert Anfragen einfach, deren Ziel er nicht kennt oder die nicht von "innen" angefordert wurden.

Aktive Blockierung würde zumindest eine mehr oder weniger gute Packet-Inspection erfordern - und solche Firewalls sind meistens teuer.

[Der Martin]

Hallo,

Genauer gesagt blockt ein NAT-Router nicht, er ignoriert Anfragen einfach, deren Ziel er nicht kennt oder die nicht von "innen" angefordert wurden.

genau das bezeichne ich aber als "blockieren", also nicht weitergeben.

Aktive Blockierung würde zumindest eine mehr oder weniger gute Packet-Inspection erfordern

Da habe ich eine andere Vorstellung des Begriffs "Blockieren". Blockieren heißt für mich einfach nur, jemanden (oder etwas) an einer Aktion zu hindern. Aus welchem Grund, mit welcher Absicht oder mit welchen Mitteln das passiert, geht aus dem Begriff IMHO nicht hervor.

Ciao,
 Martin