[GELÖST] Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Support für Extensions für phpBB 3.3.x von Entwickler OXPUS
MDuss
Beiträge: 149
Registriert: So 30. Dez 2012, 10:26

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von MDuss »

oxpus hat geschrieben: So 13. Sep 2020, 12:07 Kopiere doch einfach die .htaccess aus dem Thumbs-Ordner in /files/ und stelle von "Allow" auf "Deny" um.
Dann sollte der Schutz auch passen.
Soll ich dann einfach Allow und Deny vertauschen? Also so dass es wie hier aussieht:
<IfModule mod_version.c>
<IfVersion < 2.4>
<Files "*">
Order Deny,Allow
Allow from All
</Files>
</IfVersion>
Also so?

Der files Ordner hat die Berechtigung 777

MfG
MDuss
Benutzeravatar
oxpus
Chief handy-man
Beiträge: 2660
Registriert: Do 13. Dez 2007, 23:06
Wohnort: Irgendwo im I-Net
Kontaktdaten:

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von oxpus »

Ja, das sollte reichen.
Allerdings wäre beim Apache 2.4 x der Eintrag

Code: Alles auswählen

Require all granted
passender.
Karsten Ude
Kein Support per Messenger, Email oder PN! Unaufgeforderte Nachrichten werden ignoriert!
No support per Messenger, Email or PM. Each unasked message will be ignored!
MDuss
Beiträge: 149
Registriert: So 30. Dez 2012, 10:26

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von MDuss »

HI.

Habe jetzt mal die .htaccess von thumbs nach files kopiert. Die original habe ich in files gelassen ohne was zu ändern.
Dann habe ich den Inhalt der .htaccess auf dem files Ordner wie folgt geändert:

Code: Alles auswählen

# With Apache 2.4 the "Order, Deny" syntax has been deprecated and moved from
# module mod_authz_host to a new module called mod_access_compat (which may be
# disabled) and a new "Require" syntax has been introduced to mod_authz_host.
# We could just conditionally provide both versions, but unfortunately Apache
# does not explicitly tell us its version if the module mod_version is not
# available. In this case, we check for the availability of module
# mod_authz_core (which should be on 2.4 or higher only) as a best guess.
<IfModule mod_version.c>
	<IfVersion < 2.4>
		<Files "*">
			Order Deny,Allow
			Allow from All
		</Files>
	</IfVersion>
	<IfVersion >= 2.4>
		<Files "*">
			Require all granted
		</Files>
	</IfVersion>
</IfModule>
<IfModule !mod_version.c>
	<IfModule !mod_authz_core.c>
		<Files "*">
			Order Deny,Allow
			Allow from All
		</Files>
	</IfModule>
	<IfModule mod_authz_core.c>
		<Files "*">
			Require all granted
		</Files>
	</IfModule>
</IfModule>
Ich hoffe das ist soweit richtig?

MfG
MDuss

[Edit:] Also mit der .htaccess und der oben erwähnten Änderung läuft es bei mir soweit. Die Vorschaubilder sind wieder alle zu sehen.
Bleibt sich die Frage: Wo ist da der Knoten in der Leitung?
Die Daten die ich dir für mein Testforum geschickt habe, sind weiterhin gültig. Wenn du dir das mal live ansehen willst, dann kannst du das gerne tun.
Zuletzt geändert von MDuss am So 13. Sep 2020, 12:56, insgesamt 1-mal geändert.
Benutzeravatar
oxpus
Chief handy-man
Beiträge: 2660
Registriert: Do 13. Dez 2007, 23:06
Wohnort: Irgendwo im I-Net
Kontaktdaten:

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von oxpus »

Ja, so meint ich das.

Aber wie gesagt:
Damit wird jede Datei in dem Ordner /files/ direkt per URL freigegeben, sofern man die entsprechenden Dateinamen kennt.
Der normalerweise eingerichtete Dateischutz geht also für diesen Ordner verloren!
Karsten Ude
Kein Support per Messenger, Email oder PN! Unaufgeforderte Nachrichten werden ignoriert!
No support per Messenger, Email or PM. Each unasked message will be ignored!
MDuss
Beiträge: 149
Registriert: So 30. Dez 2012, 10:26

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von MDuss »

Also müsste man nach wie vor wissen, was da wo falsch läuft. Denn so ist das ja auch nicht das wahre.
Denn in dem Files Ordner sind auch Bilder von der Bildergallery. Und halt die eigentlichen Dateianhänge der Beiträge selber.

Die Daten habe ich dir per PM ja geschickt. Im Ordner Files des Testforum habe ich auch noch eine Kopie der original .htaccess Datei.
Und die .htaccess im thumbs Ordner habe ich nicht verändert, die ist also original von deiner Extension her.

Schon etwas merkwürdig das ganze.

Eventuell fndest du ja noch eine Idee, woran es hängen könnte. Es muss ja irgendwo zwischen Version 8.0.14 und 8.1.4 sein, denke ich mir mal. Bei mir am Forum hat sich seit dem jeden falls nichts verändert, die Forumsversion ist 3.3.1. Ich habe auch schon alle anderen Extensions deaktiviert, aber ohne Erfolg.

MfG
MDuss
Benutzeravatar
oxpus
Chief handy-man
Beiträge: 2660
Registriert: Do 13. Dez 2007, 23:06
Wohnort: Irgendwo im I-Net
Kontaktdaten:

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von oxpus »

Noch mal:
Es liegt nicht an der Extension, sondern an der Apache Konfuguration.

Normalerweise sollten die Einstellungen einer .htaccess für den jeweiligen Ordner inkl. aller Unterordner gelten und dazu jeweils einzeln für jeden Unterordner abweichend davon definiert werden können.
Somit wäre im Ordner "files" der Zugriff zu verweigern, da dort alle Dateien auf andere Weise ausgelesen werden und im Unterordner /files/dlext/ mit allen dort befindlichen weiteren Unterordnern wird durch die jeweils verwendeten .htaccess abweichend davon wieder der Zugang ermöglicht sein. Also auf die Bilder in den Thumbnail-Ordnern.

Was auch immer bei deinem Apache hier nicht stimmt, kann ich nicht sagen, denn ich kenne dessen Einstellungen ja nicht.
Da hilft auch kein Zugang zum Forum, denn das kann die Einstellungen des Apache ja nicht übersteuern, wenn diese restriktiv gesetzt sind.

Vielleicht ist auch in deiner .htaccess im Forum-Root etwas hinzugekommen, was weitere Änderungen verhindert?
Keine Ahnung, was insgesamt bei Dir alles falsch eingestellt ist.

Aber ich werde die Methode, wie die Thumbs durch die Extension angezeigt werden, in der nächsten Version ändern, denn per "einfacher" Verlinkung auf die physischen Bilddateien ist das letztlich auch nicht wirklich geschickt gelöst...
Karsten Ude
Kein Support per Messenger, Email oder PN! Unaufgeforderte Nachrichten werden ignoriert!
No support per Messenger, Email or PM. Each unasked message will be ignored!
MDuss
Beiträge: 149
Registriert: So 30. Dez 2012, 10:26

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von MDuss »

Hi oxpus.

Versteh mich bitte nicht falsch, ich bin dir sehr dankbar für die ganze Mühe, die du dir hier machst, aber wieso lief das ganze dann mit der Extension 8.0.4 ohne Probleme und mit Extension 8.1.4 dann mit diesen Problemen?

Hier mal noch die .htaccess aus dem Stammverzeichnis des Testforums:

Code: Alles auswählen

<IfModule mod_rewrite.c>
RewriteEngine on

#
# Uncomment the statement below if URL rewriting doesn't
# work properly. If you installed phpBB in a subdirectory
# of your site, properly set the argument for the statement.
# e.g.: if your domain is test.com and you installed phpBB
# in http://www.test.com/phpBB/index.php you have to set
# the statement RewriteBase /phpBB/
#
#RewriteBase /

#
# Uncomment the statement below if you want to make use of
# HTTP authentication and it does not already work.
# This could be required if you are for example using PHP via Apache CGI.
#
#RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L]

#
# The following 3 lines will rewrite URLs passed through the front controller
# to not require app.php in the actual URL. In other words, a controller is
# by default accessed at /app.php/my/controller, but can also be accessed at
# /my/controller
#
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ app.php [QSA,L]

#
# If symbolic links are not already being followed,
# uncomment the line below.
# http://anothersysadmin.wordpress.com/2008/06/10/mod_rewrite-forbidden-403-with-apache-228/
#
#Options +FollowSymLinks
</IfModule>

# Apache content negotation tries to interpret non-existent paths as files if
# MultiViews is enabled. This will however cause issues with paths containg
# dots, e.g. for the cron tasks
<IfModule mod_negotiation.c>
	Options -MultiViews
</IfModule>

# With Apache 2.4 the "Order, Deny" syntax has been deprecated and moved from
# module mod_authz_host to a new module called mod_access_compat (which may be
# disabled) and a new "Require" syntax has been introduced to mod_authz_host.
# We could just conditionally provide both versions, but unfortunately Apache
# does not explicitly tell us its version if the module mod_version is not
# available. In this case, we check for the availability of module
# mod_authz_core (which should be on 2.4 or higher only) as a best guess.
<IfModule mod_version.c>
	<IfVersion < 2.4>
		<Files "config.php">
			Order Allow,Deny
			Deny from All
		</Files>
		<Files "common.php">
			Order Allow,Deny
			Deny from All
		</Files>
	</IfVersion>
	<IfVersion >= 2.4>
		<Files "config.php">
			Require all denied
		</Files>
		<Files "common.php">
			Require all denied
		</Files>
	</IfVersion>
</IfModule>
<IfModule !mod_version.c>
	<IfModule !mod_authz_core.c>
		<Files "config.php">
			Order Allow,Deny
			Deny from All
		</Files>
		<Files "common.php">
			Order Allow,Deny
			Deny from All
		</Files>
	</IfModule>
	<IfModule mod_authz_core.c>
		<Files "config.php">
			Require all denied
		</Files>
		<Files "common.php">
			Require all denied
		</Files>
	</IfModule>
</IfModule>
An dieser habe ich nie etwas geändert. Ist also Original phpbb.

Und dass hier ist die .htaccess aus dem Stammverzeichnis des Webservers.
Dort habe ich ein paar Sachen eingetragen. Einmal die Änderung, damit User größere Dateien per Dateianhang bzw. auch in die Datenbank hochladen können. Ich habe da einen separaten Bereich freigegeben zum Upload.
Die IP Adressen habe ich schon vor ein paar Jahren eingetragen, da von dort viel Spam usw. kam.
Aber diese Einträge sind allesamt schon vor 4 Jahren und länger gemacht worden, und bisher lief das alles Ohne Probleme.

Code: Alles auswählen

php_value post_max_size 200M
php_value upload_max_filesize 200M
php_value max_execution_time 600

Deny from 66.249.66.177

Deny from 66.249.66.72

Deny from 66.249.66.74

Deny from 77.88.31.246

Deny from 115.52.225.92

Deny from 173.248.141.24

Deny from 174.129.237.157

Deny from 218.28.77.8

Deny from 222.88.245.83

Deny from 5.10.83
#@__HCP_END__@#

# Anything after the comment above is left alone
Diese hier ist di "oberste" .htaccess.
Dann ist im Unterverzeichniss
wurzelverzeichniss/forumtestneu die .htaccess die ich hier ganz oben gelistet habe.

Das einzige was mir jetzt noch ein viele wäre ein Backup ein zu spielen und somit die Datenbank als auch das Testforum wieder auf die Extension 8.0.4 zurück zu setzen.

MfG
MDuss
Benutzeravatar
oxpus
Chief handy-man
Beiträge: 2660
Registriert: Do 13. Dez 2007, 23:06
Wohnort: Irgendwo im I-Net
Kontaktdaten:

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von oxpus »

aber wieso lief das ganze dann mit der Extension 8.0.4 ohne Probleme und mit Extension 8.1.4 dann mit diesen Problemen?
Weil in der alten Version die .htaccess der Extension nicht korrekt definiert war.

Ab Apache 2.4 wird mit "Order Allow,Deny" oder umgekehrt keine Berechtigung mehr gesetzt, sondern nur noch mittels "Require...".
Das wurde in der Extension bislang nicht berücksichtigt sondern erst in den letzten Versionen.

In deiner "obersten" .htaccess fehlt allerdings die "Einleitung" zu den Rechten, wenn dein Auszug der gesamte Inhalt wäre.
Also:

Code: Alles auswählen

	<IfVersion < 2.4>
			Order Allow,Deny
	</IfVersion>
	<IfVersion >= 2.4>
			Require all granted
	</IfVersion>
Sonst würden ja erst im Normalfall gar keine Rechte freigegeben werden (also neben den Ordner- und Dateirechten).

Wie gesagt:
Mit Apache 2.4.x hat sich einiges geändert, was u. a. auch die Zugriffsrechte betrifft.
Und da die Download Extension mittlerweile die Zugriffsrechte korrekt anwendet, muss auch der "Rest" korrekt definiert sein, sonst wird es nix mit Anzeigen.

Die nächste Version wird darauf nicht mehr angewiesen sein, aber bis dahin können noch einige Wochen vergehen.
Bei Dir kann ich nicht wirklich helfen, denn letztlich kann auch dein Server oder die Administrationssoftware Restriktionen vorsehen oder beinhalten, die hier nun stören.
In der Extension hat sich außer dem Ablageort der Dateien und der nun korrekt beschriebenen .htaccess an dieser Stelle jedenfalls nichts getan, außer eben Fehler zu beheben.
Aber genau bei Dir scheint das jetzt ein Problem zu sein...
Karsten Ude
Kein Support per Messenger, Email oder PN! Unaufgeforderte Nachrichten werden ignoriert!
No support per Messenger, Email or PM. Each unasked message will be ignored!
MDuss
Beiträge: 149
Registriert: So 30. Dez 2012, 10:26

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von MDuss »

Danke für deine Erklärung oxpus.
oxpus hat geschrieben: So 13. Sep 2020, 13:40 In deiner "obersten" .htaccess fehlt allerdings die "Einleitung" zu den Rechten, wenn dein Auszug der gesamte Inhalt wäre.
Also:

Code: Alles auswählen

	<IfVersion < 2.4>
			Order Allow,Deny
	</IfVersion>
	<IfVersion >= 2.4>
			Require all granted
	</IfVersion>
Ja, bei meiner obersten .htaccess habe ich alles kopiert, habe nichts weggelassen. Die sieht so aus. Wenn dieser Teil fehlt, wo füge ich den fehlenden Teil, den du mir da beschrieben hast ein, ganz am Anfang?

Also müsste meine "oberste" .htaccess dann so aussehen?

Code: Alles auswählen

<IfVersion < 2.4>
		Order Allow,Deny
</IfVersion>
<IfVersion >= 2.4>
		Require all granted
</IfVersion>

php_value post_max_size 200M
php_value upload_max_filesize 200M
php_value max_execution_time 600

Deny from 66.249.66.177

Deny from 66.249.66.72

Deny from 66.249.66.74

Deny from 77.88.31.246

Deny from 115.52.225.92

Deny from 173.248.141.24

Deny from 174.129.237.157

Deny from 218.28.77.8

Deny from 222.88.245.83

Deny from 5.10.83
#@__HCP_END__@#

# Anything after the comment above is left alone
Deine Ausführungen von oben habe ich jetzt soweit verstanden bzgl. des Apache, glaube ich jeden Falls.
Aber eine kleine Sache ist noch da, wo ich stolpere.
Eine .htaccess, die in einem Unterordner liegt, überschreibt normalerweise die Berechtigung für diesen Ordner und aller Unterordner und Dateien, die in einer .htaccess definiert sind, welche in einem höheren Ordner abgelegt ist. So war es zumindest bisher.
Also die oberste .htaccess verbietet etwas. Aber in einem Unterordner wird etwas durch eine andere .htassecc erlaubt. Dann ist in diesem Unterordner und aller weitere Unterordner bzw. Dateien etwas erlaubt und nicht mehr verboten. So zumindest habe ich das in Erinnerung.
Wenn deine .htaccess im thumb Ordner die Bilder hier freigibt, wieso kann dann die .htaccess im Wurzelverzeichnis, wenn es wirklich nur daran liegt, denn dann die Berechtigung deiner .htaccess derart außer Kraft setzen. Ich stehe da gerade etwas auf dem Schlauch, sorry.


MfG
MDuss
Zuletzt geändert von MDuss am So 13. Sep 2020, 13:56, insgesamt 1-mal geändert.
Benutzeravatar
oxpus
Chief handy-man
Beiträge: 2660
Registriert: Do 13. Dez 2007, 23:06
Wohnort: Irgendwo im I-Net
Kontaktdaten:

Re: Bildanzeige Fehler und Dateiverschlüsselungsfrage.

Beitrag von oxpus »

So wäre es korrekt, ja.

Allerdings wird dadurch dein Problem nicht zwangsweise gelöst, denn die Standardeinstellung der Rechte kann auch in der Haupt-Konfig des Apache eingetragen sein.
Dann wäre eine neue Definition in dieser .htaccess nicht erfolgreich, also ohne sichtbare Wirkung.

Komisch ist eben weiterhin, dass eine .htaccess im Ordner /files/ mit "Standardrechten" scheinbar nicht durch eine .htaccess in einem enthaltenen Unterordner übersteuert werden kann.
Das ist im Standard im Apache möglich, kann bei Dir aber eben auch ausgeschaltet sein, was sehr ungewöhnlich wäre.

Ich muss an dieser Stelle das Thema aber beenden, denn wir kommen so nicht weiter.
Die nächste Version der Extension wird keine .htaccess mehr benötigen, um die Bilder auch aus einem /files/-Unterordner anzuzeigen.
Wenn sie denn fertig fertiggestellt sein wird.
Karsten Ude
Kein Support per Messenger, Email oder PN! Unaufgeforderte Nachrichten werden ignoriert!
No support per Messenger, Email or PM. Each unasked message will be ignored!
Antworten