REDAXO Forum

Hallo,

ich habe ein Problem und bin mir nicht sicher, woher dieses kommt.

Vorgeschichte + Hintergrund
Es begann damit, dass beim Redaxo 5 Setup jedes mal mein Server für einige Minuten nicht mehr erreichbar war, nachdem ich im Schritt 3 auf "weiter" geklickt habe. Anschließend konnte ich an der Stelle aber weitermachen.
Nun habe ich eine Installation (Upgedated aus 4.7 mit dem yconverter), wo ich mich einlogge, auf Benutzer gehe und einen Benutzer azuswähle oder auch einen neuen anlege und das gleiche verhalten habe.
Nun konnte ich feststellen, dass mich die Fail2Ban-Komponente des Plesk auf Basis meiner IP sperrt (für fünf Minuten). Wie es aussieht, passiert das wegen Apache-Auth-Fehlern, ich interpretiere das mal als htaccess-Ablehnungen.

Fehlermeldungen
Der Chrome Dev sagt: Das Server-Error-Log sag nach dem Login:
2017-04-26 12:02:18 Error 91.97.107.x 403 GET /redaxo/cache/.redaxo HTTP/1.1 https://domain.de/redaxo/index.php?page=structure Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 1.40 K Apache-SSL-Zugriff

2017-04-26 12:02:18 Error 91.97.107.x 403 GET /redaxo/data/.redaxo HTTP/1.1 https://domain.de/redaxo/index.php?page=structure Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 1.40 K Apache-SSL-Zugriff

2017-04-26 12:02:18 Access 91.97.107.x 200 GET /assets/core/redaxo-logo.svg HTTP/1.1 https://domain.de/redaxo/index.php?page=structure Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 4.54 K Apache-SSL-Zugriff

2017-04-26 12:02:18 Error 91.97.107.x 403 GET /redaxo/src/core/boot.php HTTP/1.1 https://domain.de/redaxo/index.php?page=structure Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 1.40 K Apache-SSL-Zugriff

2017-04-26 12:02:18 Access 91.97.107.x 200 GET /assets/addons/be_style/fonts/fontawesome-webfont.woff2?v=4.7.0 HTTP/1.1 https://domain.de/assets/addons/be_styl ... 1487076224 Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 75.9 K Apache-SSL-Zugriff

2017-04-26 12:02:18 Error 91.97.107.x client denied by server configuration: /var/www/vhosts/domain.de/httpdocs/redaxo5/redaxo/cache/.redaxo, referer: https://domain.de/redaxo/index.php?page=structure Apache-Fehler

2017-04-26 12:02:18 Error 91.97.107.121 client denied by server configuration: /var/www/vhosts/domain.de/httpdocs/redaxo5/redaxo/data/.redaxo, referer: https://domain.de/redaxo/index.php?page=structure Apache-Fehler

2017-04-26 12:02:18 Error 91.97.107.121 client denied by server configuration: /var/www/vhosts/domain.de/httpdocs/redaxo5/redaxo/src/core/boot.php, referer: https://domain.de/redaxo/index.php?page=structure Apache-Fehler

... und nach z.B. Klick auf "System" unter anderem:
2017-04-26 12:03:07 Error 91.97.107.121 403 GET /redaxo/cache/.redaxo HTTP/1.1 https://domain.de/redaxo/index.php?page=system/settings Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 1.40 K Apache-SSL-Zugriff

2017-04-26 12:03:07 Error 91.97.107.121 403 GET /redaxo/data/.redaxo HTTP/1.1 https://domain.de/redaxo/index.php?page=system/settings Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 1.40 K Apache-SSL-Zugriff

2017-04-26 12:03:07 Error 91.97.107.121 403 GET /redaxo/src/core/boot.php HTTP/1.1 https://domain.de/redaxo/index.php?page=system/settings Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 1.40 K Apache-SSL-Zugriff

2017-04-26 12:03:07 Access 91.97.107.121 200 GET /assets/core/redaxo-logo.svg HTTP/1.1 https://domain.de/redaxo/index.php?page=system/settings Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 4.54 K Apache-SSL-Zugriff

2017-04-26 12:03:07 Access 91.97.107.121 200 GET /assets/addons/be_style/fonts/fontawesome-webfont.woff2?v=4.7.0 HTTP/1.1 https://domain.de/assets/addons/be_styl ... 1487076224 Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36 75.9 K Apache-SSL-Zugriff

2017-04-26 12:03:07 Error 91.97.107.121 client denied by server configuration: /var/www/vhosts/domain.de/httpdocs/redaxo5/redaxo/cache/.redaxo, referer: https://domain.de/redaxo/index.php?page=system/settings Apache-Fehler

2017-04-26 12:03:07 Error 91.97.107.121 client denied by server configuration: /var/www/vhosts/domain.de/httpdocs/redaxo5/redaxo/data/.redaxo, referer: https://domain.de/redaxo/index.php?page=system/settings Apache-Fehler

2017-04-26 12:03:07 Error 91.97.107.121 client denied by server configuration: /var/www/vhosts/domain.de/httpdocs/redaxo5/redaxo/src/core/boot.php, referer: https://domain.de/redaxo/index.php?page=system/settings Apache-Fehler

Erste Diagnose
In jedem Unterordner von /redaxo wird versucht eine Datei zu laden (z.T., auf die .redaxo), aber in jedem liegt auch eine .htaccess mit Inhalt
order deny,allow
deny from all


Preisfrage:
Wenn seitens Client drauf zugegriffen wird, warum die htaccess? Oder stimmt in meinem Setup einfach etwas nicht?
Kennt dieses Verhalten jemand von euch?

Ich würde als "workarround" einfach die .htaccess anpassen - aber das kann ja gewiss nicht im Sinne des Erfinders sein?

Danke & Gruß
Dominic

Ist das shared / managed hosting?

Evtl. kann dir der Hoster bei solchen Fragen direkte Abhilfe leisten. Wie heißt der Hoster denn?

Ich bin quasi selber der Hoster
Das Problem ist ja nicht, dass geblockt wird (wie du sagst - das könnte ich ggf. abschalten), sondern die Frage, warum Redaxo auf Dateien zugreift, die es selber via htaccess schützt.

Im Setup passiert das, um die Lese- und Schreibrechte zu testen und ggf. den Nutzer auf eine unsichere Installation hinzuweisen. Also zur Überprüfung. Mehr kann ich dazu fachlich leider nicht beitragen.

Leider besteht das Problem immer noch, und zwar auch bei Kunden, die ihre Seite bearbeiten wollen - absoluter Show-Stopper.

Was ich nun feststelle, ist die Quelle:
\assets\core\standard.js
und
\redaxo\src\core\assets\standard.js

Hier gibt es in Zeile 452 drei Aufrufe, die genau die u.g. Fehler verursachen:
checkHtaccess('cache', '.redaxo');
checkHtaccess('data', '.redaxo');
checkHtaccess('src', 'core/boot.php');

Wird hier nun tatsächlich bei jedem Seiten-Aufruf im Backend drei Fehler provoziert, "nur" um den Zugriff zu testen!?
Ich für meinen Teil werde diesen Code vorerst manuell aus den Dateien entfernen, mangels besseren Verständnis, unter welchen Bedingungen diese Prüfung eigentlich stattfinden sollte und unter welchen eben nicht ...
Wär klasse, wenn sich das vielleicht nochmal anschaut, der das besser versteht.