[FRAGE] htaccess: deny from all gibt Datei raus

[SteelWheel]

Hallo JS-Welt'ler,

zu meinem ganz persönlichen Entsetzen und soeben nach einem bestätigten Test, gibt ein Verzeichnis mit "deny from all"-htaccess (mehr steht da nicht drin) Dateien zum Download heraus.

Die Konstellation:
- root hat htaccess mit den Angaben, die nötig/wichtig sind (DirectoryIndex, SEO-Zeugs, Bot-Blocker u. v. m.)
- Unterverzeichnis hat htaccess mit "deny from all"

Rufe ich das Verzeichnis (ohne Dateiangabe) via URL auf, erhalte ich den gewünschten "Zugriff verweigert".

Rufe ich das Verzeichnis explizit mit Datei auf, bekomme ich "Zugriff verweigert", aber auch das Download-Fenster im Browser (mit der Datei).

Frage 1: Es sind kürzlich Updates am Server ("managed") gemacht worden - haben die u. U. was vergessen zu deaktivieren?

Frage 2: Wäre es möglich, dass eine Direktive in der root-htaccess "deny from all" im Unterverzeichnis aufhebt?

Als ich mir das "damals" (ist wirklich schon lange her) so eingerichtet habe, kam ich an gar nix heran. Also ist jetzt "irgendwas" anders - und mein Zugriff beschränkt sich (aus eigenem Interesse) auf htaccess.

Oh, vielleicht nicht unwichtig in dem Zusammenhang: Die angeforderte Datei ist eine .tar.gz (Datenbank-Export).

Es gibt nirgends eine vorige Authentification o. ä. - da läuft also nix im Vorfeld, das Verzeichnis sollTE für alle strikt dicht sein.

In meinen Augen bleiben nicht viele Möglichkeiten ... hat jemand einen Hinweis für mich?

Vielen Dank.

 

[mikdoe]

Ich hatte mal so was ähnliches und konnte das auch nicht über die .htaccess lösen, musste dann eine ganz andere Lösung bauen.
Ist der Webserver auf dem neuesten Softwarestand? Sonst weiß ich leider auch keine Lösung. Ich hatte mich aus Zeitgründen nicht tiefer damit beschäftigt, als ich das hatte sondern direkt die Zeit in die Umgehungslösung investiert.

 

[SteelWheel]

Ich habe mir direkt eine andere Lösung gemacht - diese sieht so aus, dass das Backup jetzt nicht mehr dort liegen bleibt. Im Falle eines benötigten Einspielens müsste die Datei jetzt halt erst wieder hochgeschoben werden etc. und ich mülle mich im Moment mit den Backups selbst hier lokal zu. Es ist auch der einzige sensible Bereich - der andere Bereich (Backend) arbeitet mit eigener Sicherheit via Benutzersystem, Rechtevergabe etc.

Hmmm ... vielleicht hat ja noch wer anders einen Hinweis - oder ich verstehe "deny from all" gänzlich falsch (dass sich dieser bspw. nur auf webtypische Dateien bezieht). Nein, es ist nicht irgendwo verlinkt - Google & Co. dürften es nicht gefunden haben. Später werde ich das Backup-Verzeichnis "woanders" hinlegen - ist nur bekanntlich wieder keine Zeit für ...

Danke Dir erstmal, mik!