12 βήματα σε Linux Apache MySQL PHP τον web server LAMP ρίζα ασφαλή

Hacking η συχνότητα έχει αυξηθεί σημαντικά τους τελευταίους μήνες. Ειδικά πολλά δεδομένα για να ενταχθεί από αμυχές στο web servers. Ακόμη και η Sony PSN hack εκμεταλλεύθηκαν μια unpatched ευπάθεια στο διακομιστή Apache Web. Γι 'αυτό συλλέγει δράση εδώ, ο διακομιστής μπορεί να δική ένα κομμάτι ασφαλέστερο από επιθέσεις από το εξωτερικό. Φυσικά, αυτό επίσης δεν παρέχει 100% προστασία, αλλά είναι καλύτερο να κάνουν τους κακούς το παιχνίδι λίγο πιο δύσκολο. Μερικά από τα μέτρα που απαιτούν μόνο μια ελάχιστη εγκατάσταση και συντήρηση. Άλλοι χρειάζονται πολύ χρόνο και τη γνώση της PHP για να πιάσει. Κάποιος πρέπει πάντα να ψάξουν για τη σχέση κόστους-οφέλους για την επιλογή των μέτρων ασφαλείας. Δεν έχει κανένα νόημα για την προστασία της ένα μικρό, ιδιωτικό χώρο όπως η Ομοσπονδιακή Κεντρική Τράπεζα των ΗΠΑ. Ωστόσο, λίγες συγκεκριμένες αλλαγές στο σύστημα έχει ήδη ένα μεγάλο σημαίνουν περισσότερη ασφάλεια. Και αυτό θα πρέπει να αντιμετωπίσει ακόμη και πριν είναι πολύ αργά ....

Όλες οι συμβουλές και Codesnips αναφέρονται σε ένα τρέχον πλαίσιο του Debian.

Πρώτα Το τείχος προστασίας - μια φορά τα πάντα να απαγορεύουν

Οι περισσότερες διανομές Linux σε εγκαταστάσεις προεπιλεγμένες ανοικτές θύρες οποιαδήποτε προς τα έξω ότι δεν είναι απολύτως απαραίτητο. Αυτή η κατάσταση μπορεί να αλλάξει γρήγορα, όμως, ακόμα και όταν ο διακομιστής
παίζοντας γύρω και προσπαθώντας πράγματα. Ξαφνικά το διακομιστή πολυμέσων ακούει στο Διαδίκτυο ή η βάση δεδομένων
δέχεται συνδέσεις από το Internet. Ως εκ τούτου, δεν είναι λάθος να τους πειθαρχία και να δημιουργήσει μια πολύ περιοριστική τείχος προστασίας που ουσιαστικά απαγορεύει τη στιγμή που όλες οι συνδέσεις από το εξωτερικό και επιτρέπει μόνον την (αυτο-) επιλεγμένων ενώσεων. Ευτυχώς, αυτό γίνεται γρήγορα με iptables. Με τον τρόπο αυτό δεν μπορούμε πλέον να παρέχουν υπηρεσίες να καταστούν προσβάσιμα στον κόσμο ότι δεν έχουν καμία επιχειρηματική εκεί. Δυστυχώς, πληρώνετε μια μικρή άνεση - το τείχος προστασίας πρέπει να αναπροσαρμόζονται κάθε χρόνο, όταν θα ήθελαν να προσφέρουν νέες υπηρεσίες. Παρ 'όλα αυτά, η προσπάθεια είναι μικρή και τα οφέλη μεγάλα.

 # / Bin / bash

 # Διαγραφή υπάρχοντες πίνακες
 iptables-F

 # Απαγόρευση όλων των εισερχόμενων συνδέσεων
 iptables-P INPUT DROP
 iptables-P FORWARD DROP

 # Αφήστε όλα τα εξερχόμενα
 iptables-P OUTPUT ACCEPT

 # Αφήστε SSH
 iptables-A INPUT-j ACCEPT-p tcp - dport 22 

 # Αφήστε HTTP
 iptables-A INPUT-j ACCEPT-p tcp - dport 80 

 # Επιπλέον, η υπηρεσία (UDP) επιτρέπουν, για παράδειγμα διακομιστή παιχνιδιών
 iptables-A INPUT-j ACCEPT-p tcp - dport 4534 

 # Να επιτρέπεται σε όλους από το localhost.  (Για τον ίδιο το διακομιστή απρόσκοπτη πρόσβαση στις υπηρεσίες της,
 # Για παράδειγμα PHP στην τοπική βάση δεδομένων
 iptables-A INPUT-s 127.0.0.1-j ACCEPT

 # Ήδη εγκατεστημένες συνδέσεις θα γίνονται δεκτές σε κάθε λιμάνι
 # (Απαιτείται για κάποια δαίμονες)
 iptables-A INPUT-m state - που έχει δημιουργηθεί, ΣΧΕΤΙΚΑ-j ACCEPT

Αυτό το μικρό κορμό μπορούμε απλά να συνεχίσει να επεκτείνει και να προσθέσετε τις δικές τους υπηρεσίες. Όταν εργάζονται για το τείχος προστασίας, θα πρέπει πάντα διατάξεις για την περίπτωση που κλειδώνει οι ίδιοι. Ειδικά σε απομακρυσμένους διακομιστές για το οποίο δεν έχετε φυσική πρόσβαση, είναι πολύ ενοχλητικό να χάσει από μια ανεπιτυχή δική της πρόσβαση στον κανόνα τείχους προστασίας. Για να αποφευχθεί αυτό το πρόβλημα από τη μέση, μπορεί κανείς να αρχίσει να εργάζεται για το τείχος προστασίας προσωρινά μόνο μια περιοδική εργασία που επαναφέρει το τείχος προστασίας κάθε λίγα λεπτά ή την επανεκκίνηση του διακομιστή. Οι κανόνες είναι αργότερα δοκιμαστεί και αγάπησε, ο cronjob θα απενεργοποιηθεί και οι νέοι κανόνες παραμένουν μόνιμα ενεργό.

Για να μάθετε για το τι υπηρεσίες μόλις ακούσετε το δικό σας διακομιστή, μπορείτε να χρησιμοποιήσετε το netstat:

 # Για το TCP sockets:
 netstat-LPN | grep tcp

 # Ομοίως για UDP:
 netstat-LPN | grep UDP

Για να ελέγξετε εάν το τείχος προστασίας λειτουργεί πραγματικά, μπορείτε να σαρώσετε λιμάνι δικό σας διακομιστή από έναν άλλο υπολογιστή. Είναι όλα τα επεξεργαστεί, θα πρέπει να εμφανίζονται στο αποτέλεσμα μόνο της ακόμα και τα λιμάνια που είναι ανοικτά:

 # Για το TCP:
 nmap-P1-65 535 meinserver.de

 # Για UDP:
 nmap-SU-P1-65 535 meinserver.de

Δεύτερος SSH απαγόρευση συνδέσεις

Με δική του διακομιστή ρίζα του έχει απεριόριστη πρόσβαση SSH. Αυτό είναι αρκετά βολικό, μπορείτε από οποιοδήποτε πελάτη SSH στο διακομιστή φορές απλά για να εργάζονται σε αυτό. Το μειονέκτημα αυτού είναι ότι η πορεία μπορεί κάποιος ο οποίος δυστυχώς έχει κάπως αναλάβει τις δικές τους κωδικούς τους. Είναι πολύ ασφαλέστερο να επιτρέπουν SSH συνδέσεις μόνο με ένα έγκυρο κλειδί αρχείο. Είναι το δημόσιο κλειδί του πελάτη στο διακομιστή και να αντιγραφούν διαδραστικές συνδέσεις είναι άτομα με ειδικές ανάγκες με την εισαγωγή ενός κωδικού πρόσβασης.

 # Στο πελάτης, δημιουργήστε ένα δημόσιο κλειδί
 # Σε περίπτωση που ορίζεται κατά τη δημιουργία ενός κωδικού πρόσβασης, κάποιος πρέπει να
 # Είσοδος αργότερα το αρχείο κλειδιού και τον κωδικό πρόσβασης.  Αλλιώς
 # Χρειάζονται μόνο τα βασικά.

 ssh-keygen-t RSA

 # Το κλειδί που δημιουργείται στη συνέχεια να αντιγράψετε στο διακομιστή

 ssh-copy-id-i ~ /. ssh / id_rsa.pub root@meinserver.de

 Στη συνέχεια, προσαρμόζει # sshd_config στον server / etc / ssh /
 .
 .
 PasswordAuthentication δεν
 .
 .

 # Στη συνέχεια, νέο ξεκίνημα SSH
 / Etc / init.d / ssh επανεκκίνηση

Ακόμα και εδώ θα πρέπει κανείς να λαμβάνουν προφυλάξεις για να μην αποκλείσει ακόμη και αν κάτι δεν λειτουργεί.
Το δημόσιο κλειδί σε ένα USB stick με τον αντίστοιχο κωδικό πρόσβασης στο κεφάλι σας καθιστά πολύ πιο δύσκολο για τους κακούς να έχετε ένα τερματικό.

Τρίτος SSH Bruteforcing πρόληψη denyhosts

Εάν η συμβουλή δεν είναι πρακτικό και ένα δύο εγκαταλείψουν την άνεση του κωδικού πρόσβασης που βασίζεται συνδέσεις θέλετε, μπορείτε τουλάχιστον να αποτρέψει την αυτόματη ποσοστά κωδικό του επιτιθέμενους στο διακομιστή. Πολλά bots στο διαδίκτυο όλη την ημέρα ψάχνουν να κάνουν τίποτα περισσότερο από το να SSH σας και να δοκιμάσετε σε διάφορους κωδικούς πρόσβασης σας. Με μια αρκετά ασφαλή κωδικό πρόσβασης δεν είναι ένα μεγάλο πρόβλημα, αλλά υπάρχει μια καλύτερη αίσθηση, ακόμα και αν αυτό είναι δυνατόν. Επιπλέον, προστατεύει επίσης τους χρήστες του, αν υπάρχουν σχετικά με τους λογαριασμούς του διακομιστή και του χρήστη. Εδώ, δεν μπορείτε να εμπιστεύεστε ότι οι χρήστες χρησιμοποιούν ασφαλείς κωδικούς πρόσβασης. denyhosts ελέγχεται συνεχώς σε ssh συνδέσεις και κλειδαριές χρήστη για ένα ορισμένο χρονικό διάστημα, οι οποίες έχουν τεθεί τον κωδικό πρόσβασής τους λανθασμένα επαναλαμβάνεται. Η IP των χρηστών προσωρινά πηγαίνετε στο / etc / hosts.deny, ώστε να μπορούν πλέον να έχουν πρόσβαση σε είναι δυνατή. Αυτό το SSH Bruteforcing σε μια πολύ χρονοβόρα και δεν είναι πολύ ελπιδοφόρα εργασία.

 apt-get denyhosts εγκατάσταση

 # Denyhosts λειτουργεί αμέσως μετά την εγκατάσταση.  Μπορεί να είναι
 # Στο αρχείο / etc / denyhosts.conf τελειοποιήσουν

4ο Μαύρες λίστες που χρησιμοποιούνται για να καλύψετε τους γνωστούς IPs πρόβλημα

Σε διάφορες μαύρες λίστες του Internet διατηρούνται, τα οποία απαριθμούν ένα μεγάλο αριθμό εγκληματικών / ψιλοκομμένο / spammy / δόλια servers. Αυτές οι λίστες IP μπορεί να εισαχθεί απευθείας στο τείχος προστασίας, έτσι ώστε όχι από αυτό γνωστό είναι σε αξιόπιστους servers καμία σύνδεση δεν είναι πλέον δυνατή στον δικό σας διακομιστή. Έτσι μπορείτε να μειώσετε την ποσότητα των spam με δική τους server, αλλά και δραστικά ένα πράγμα ή script-kiddie lock out, γιατί ρωσικά μεσολάβησης του σταματά ξαφνικά εργασίας. Πώς να το κάνουμε αυτό έχω σε ένα άλλο άρθρο στο blog περιγράφεται το παράδειγμα της μαύρης λίστας του Infiltrated.net.

5ο Μην χρησιμοποιείτε το FTP για να εργαστούν στο διακομιστή

FTP είναι ένα κειμήλιο καλύτερες μέρες, όταν το Διαδίκτυο ήταν ένα μικρό χωριό ακόμα αξιόπιστες. Πολλοί διαχειριστές των ιστοσελίδων εξακολουθούν να χρησιμοποιούν το FTP για τη μεταφορά αρχείων στον server ή να εργαστούν για το δικό σου site. Δυστυχώς, αυτό είναι πολύ αβέβαιη, επειδή FTP μεταδίδει όλα τα δεδομένα ακάλυπτο. Οι κωδικοί πρόσβασης και τα δεδομένα μπορούν να διαβαστούν χωρίς προβλήματα σε κάθε hop μεταξύ των διακομιστών και των πελατών. Είναι πολύ πιο ασφαλές με sshfs. Σας επιτρέπει να τοποθετήσετε έναν κατάλογο μέσω SSH στο τοπικό σύστημα αρχείων του απομακρυσμένου διακομιστή. Κάποιος μπορεί στη συνέχεια να εργαστούμε στον server σαν να ήταν στον τοπικό υπολογιστή. Η πρόσβαση αρχείων σε αρχεία στον server είναι εντελώς διαφανής, ώστε να μπορείτε επίσης να ανοίξετε το πρόγραμμα, μια τοπική γραφική εικόνα στον server, να επεξεργαστείτε και να αποθηκεύσετε ξανά. Περισσότερη άνεση και ασφάλεια χωρίς πολλή προσπάθεια.

 # Εγκαταστήστε sshfs
 apt-get sshfs εγκατάσταση

 # Δημιουργία mountpoint στο τοπικό σύστημα αρχείων
 mkdir / media / ο_διακομιστής_μου

 # Διακομιστή στο τοπικό mount σύστημα αρχείων
 www-data@mein-server.de sshfs: / var / www / media / ο_διακομιστής_μου

 # Τώρα ο κατάλογος / var / www σε τοπικό διακομιστή μου κάτω από το / media / ο_διακομιστής_μου διαθέσιμες

6ο Εγκατάσταση ενημερωμένων εκδόσεων

Ένα super ασφαλές σύστημα δεν θα βοηθήσει εάν το ίδιο το σύστημα είναι ελαττωματική και μια γνωστή ευπάθεια μπορεί να εκμεταλλευθεί. Στις περισσότερες περιπτώσεις, αυτά τα κενά ασφαλείας γρήγορα, συχνά ξεχνάμε, όμως, τακτικές ενημερώσεις του συστήματος admins να κάνουν. Είτε θα πρέπει να ενεργοποιήσετε τις αυτόματες ενημερώσεις σε Linux servers ή δεν είναι ένα επίμαχο ζήτημα. Μερικοί δεν θα το κάνουμε επειδή λειτουργεί φυσικά με πολύ κακή τύχη μπορεί να είναι ότι οι ενημερώσεις να καταστεί το σύστημα άχρηστο. Αυτό συνέβη σε μένα σε πάνω από 10 χρόνια εργασίας σε Debian συστήματα, αλλά ποτέ και εκτιμώ τα οφέλη από την έγκαιρη και τακτική ενημέρωση, πολύ υψηλότερο από την προκύπτουσα κίνδυνο.

 # Αυτή η γραμμή στο / etc / crontab, ενημερώνει το ρολόι του συστήματος κάθε μέρα στις 6 π.μ.
 0 6 * * * root apt-get update & & apt-get-y αναβάθμιση

Αυτά γρήγορη και βρώμικη μέθοδος λειτούργησε για μένα μέχρι τώρα πάντα καλό. Διάβασα πρόσφατα ότι στο αποθετήριο πακέτων στο Debian υπάρχει και αφύλακτο-αναβαθμίσεις, η οποία λύνει το πρόβλημα μάλλον κάτι πιο κομψό, αλλά δεν έχουν δοκιμαστεί.

Ακόμη και με ένα πλήρως αυτοματοποιημένο σύστημα ενημερώσεων, αυτό δεν είναι εντελώς από το γάντζο. Εάν μια ενημέρωση του πυρήνα έχει παραδοθεί, θα πρέπει να εκκινήσετε το σύστημα για άλλη μια φορά με το χέρι, αλλιώς οι αλλαγές δεν θα γίνει ενεργό.

Αν κάποιος χρησιμοποιεί μη-PHP κώδικα στο διακομιστή, όπως ένα open source CMS ή ένα φόρουμ, είναι απολύτως απαραίτητο, φυσικά, επίσης αυτόν τον κώδικα με νέες εκδόσεις μέχρι σήμερα. Δεδομένου ότι η Debian δεν ενημερώνει με τις αλλαγές στις εφαρμογές της σε αυτές περιλαμβάνει κανόνες, χειρωνακτική εργασία είναι απαραίτητη εδώ. Στην καλύτερη περίπτωση, μπορείτε να διαβάσετε τις λίστες των σχετικών προϊόντων να είναι πάντα ενημερωμένο.

7ο PHP με open_basedir φυλακίζουν

Πολλοί αμυχές με βάση το γεγονός ότι ένα θέμα ευπάθειας στον κώδικα PHP χρησιμοποιείται για την πρόσβαση στα αρχεία όσον αφορά την πρόσβαση σύστημα αρχείων που δεν ανήκουν στην περιοχή, αλλά το ίδιο το σύστημα γιατί θα πρέπει να κλειδώνουν την PHP, έτσι ώστε να διαβάσει μόνο σε ειδικά καθορισμένα καταλόγους και να γράφουν μπορεί. Γι 'αυτό, το php.ini το open_basedir διαμόρφωσης επιλογή. PHP έχει τη δυνατότητα να θέσει μόνο επιτρέπεται η πρόσβαση στους καταλόγους εκεί. Αρχεία όπως το / etc / passwd είναι μακριά. Φιλοξενία πολλαπλές ιστοσελίδες σε ένα διακομιστή, θα πρέπει να θέσετε open_basedir σε κάθε VirtualHost διαμόρφωση για κάθε σελίδα.

 # Παγκόσμια php.ini μέσω:
 # / Etc/php5/apache2/php.ini
 open_basedir = / var / www /: / tmp /

 # Ανά ιστοθέση στα config VirtualHost:
 php_value open_basedir / var / www / site /: / tmp /

Είναι σημαντικό να εξεταστεί αν έχουν όλα τα sites έχουν προστεθεί στην σενάρια συνήθως πρέπει να έχουν πρόσβαση, σε αντίθετη περίπτωση, μπορεί να είναι ότι είστε άτομα με ειδικές ανάγκες και των νόμιμων λειτουργίες της εφαρμογής PHP.

8ο Δημιουργήστε τις δικές σας ιστοσελίδες για τους χρήστες MySQL

Χρησιμοποιεί το δικό PHP-MySQL την εφαρμογή του, θα πρέπει να είναι απολύτως δημιουργήσει για Apllikation ένα ξεχωριστό χρήστη MySQL και σε καμία περίπτωση τη χρήση της MySQL αιτήματα χρήστης root. Θα πρέπει επίσης να περιορίσει τα δικαιώματα του χρήστη, μέχρι τώρα που είναι πραγματικά επιτρέπονται μόνο οι ενέργειες, που απαιτούν το PHP script. CREATE TABLE και TABLE DROP είναι τα κοινά σε SQL ενέσεις χρησιμοποιούνται και στις περισσότερες εφαρμογές PHP δεν απαιτείται. Φιλοξενεί σε διάφορες τοποθεσίες με πολλαπλές βάσεις δεδομένων σε ένα διακομιστή, θα πρέπει να δημιουργήσετε τις δικές σας βάσεις δεδομένων για όλους τους χρήστες. Έτσι, μετά από μια επιτυχημένη επίθεση, ένας εισβολέας έχει πρόσβαση μόνο σε μία από τις βάσεις δεδομένων και όχι απευθείας σε όλα. Εάν δεν θέλετε να δοκιμάσετε τη γραμμή εντολών για τη διαχείριση των λογαριασμών χρηστών της MySQL, της διαχείρισης χρήστη λειτουργίες επίσης αρκετά εύκολο με το phpMyAdmin στο πλαίσιο του "δικαιώματα" καρτέλα.

9ο PHP μηνύματα λάθους off

PHP μηνύματα λάθους, ένας εισβολέας μπορεί να αποκαλύψει πολλά για το δικό σας διακομιστή: δομές καταλόγου, δομές δεδομένων, τα σφάλματα διαμόρφωσης, κλπ. Επίσης, αναζητήστε το χρήστη πολύ αντιεπαγγελματική. Για το λόγο αυτό θα πρέπει να είναι σε ένα ζωντανό διακομιστή Web από βασικά, επειδή είστε ακριβώς πρόκειται να συνεχίσει για να δείτε στα αρχεία καταγραφής.

 # Παγκόσμια php.ini μέσω:
 # / Etc/php5/apache2/php.ini
 display_errors = Off

 # Ανά ιστοθέση στα config VirtualHost:
 php_flag display_errors Off

 # Μηνύματα λάθους το διαβάσετε οπωσδήποτε:
 cat / var/log/apache2/error.log | grep php

10α Στόχος για το όριο εισαγωγής SQL με ModSecurity

SQL ενέσεις είναι η πιο συχνά χρησιμοποιούμενη μέθοδος της επίθεσης σε web servers. Άμεση πρόσβαση σε αυτά μέσω της εφαρμογής web και ικανοποιεί ένα πρόγραμμα περιήγησης για να τους εκτελέσουν. Εδώ είναι που μεταδίδονται από τις μεταβλητές χρήστη χτισμένο στείλτε ερωτήσεις SQL στη βάση δεδομένων με τα προνόμια της δικής όλα του χρήστη στη βάση δεδομένων κατά βούληση διαγράψετε διαβάσουν ή να τα επεξεργαστείτε. Μια πραγματική πραγματική προστασία έναντι εισαγωγής SQL υπάρχει μόνο εάν ο κωδικός PHP γράφτηκε στην περιοχή σε σχέση με αυτές τις επιθέσεις. Κάθε μεταβλητή από την είσοδο του χρήστη, η οποία θα μπορούσε να πάει σε ένα ερώτημα SQL, πρέπει να δοκιμαστεί και δραπέτευσε. PHP προσφέρει η real_mysql_escape_string λειτουργία ().

Ist man nicht sicher, ob der Code sauber ist, kann mod_security für den Apache helfen eine große Menge dieser Angriffe trotzdem abzuwehren. mod_security überprüft ständig alle Requests an den Webserver und reagiert auf vorgefertigte Muster mit denen viele SQL-Injection-Angriffe abgewehrt werden können. Leider funktioniert auch mod_security nur gut mit manuellem Aufwand. Oft blockt mod_security nach einer frischen Installation auch gewünschte (normale) Funktionen des eigenen PHP-Codes, so dass einem nichts anderes übrig bleibt, als die komplette Applikation nach der Installation einmal durchzutesten. Nur so findet man heraus, ob mod_security nicht eventuell auch gewünscht Funktionen blockt. Ist das der Fall, muss die Filterliste angepasst werden, so dass die false-positives verschwinden.

Die Konfiguration von mod_security ist etwas komplizierter und würde den Umfang dieses Artikels sprengen, es gibt aber massenweise gute Tutorials zu mod_security im Internet.

11ο Ausweiskontrolle - Der Apache sagt nicht mehr, wer er ist
Dies ist keine wirklich wirkungsvolle Methode gegen einen Hack, sie macht es automatisierten Skripten, die nach Server-Versionen suchen aber etwas schwerer. Normalerweise zeigt der Apache auf Seiten mit Fehlermeldungen (zB 404 Not Found) seine Serversignatur.

Apache/2.2.16 (Debian) Server at www.daniel-ritter.de Port 80

So erhalten potentielle Angreifer zumindest schon einmal Informationen über den eigesetzten Webserver und den Versionsstand. Die Serversignatur ist schnell ausgeschaltet:

#/etc/apache2/conf.d/security
ServerSignature Off

12 Nicht benutze Apache-Module deaktivieren

Per default hat der Apache einige Module geladen, die fast nie benötigt werden. Unter Debian findet man die geladenen Module
als Softlinks in /etc/apache2/mods-enabled.

Fast immer entfernt werden können:

mod_cgi

Dient dem ausführen von CGI-Skripten. Diese Technik stammt noch aus den Urzeiten des Web und war der Vorvater der modernen Skriptsprachen um dynamische Webseiten zu ermöglichen. mod_cgi ist auf 99% der PHP-Websites unnötig und bei einer fehlerhaften Apache-Config eine potentielle Sicherheitslücke

a2dismod cgi

mod_status

Ermöglicht es Browsern Statusinformationen über den Apache auszulesen. Es wird so gut wie nie für "normale" Sites genutzt, bietet Angreifern aber Statusinformationen über den Apache.

a2dismod status

mod_autoindex

mod_autoindex sorgt dafür, dass Verzeichnisse auf dem Webserver aufgelistet werden können, wenn es keine gültige Index-Seite in dem entsprechenden Verzeichnis gibt. Falls diese Funktionalität nicht erwünscht ist, sollte man sie abschalten, da durch sie ganze Verzeichnisbäume auf dem Webserver nach aussen sichtbar werden können.

a2dismod autoindex