WBCE CMS Forum

byteworker

Member

DDoS-Angriff - Seite gesperrt

Guten Tag Zusammen,
eine von mir betreute Seite wurde vom Hoster gesperrt aus dem oben genannten Grund.

Die Seite lief noch auf WBCE 1.5.2 mit https.
Der Provider UD Media und hat meinem Kunden den DDoS Service von Cloudflare angeboten. Ich bin nicht sicher ob das sein muss.

Was ich gemacht habe:
Aktuelle Version 1.6.8 update, neue Datenbank aufgesetzt. Ein Update diverser alter Module (Miniform wurde auf Wunsch des Kunden deaktiviert) er will keine Mails darüber erhalten.
Umleitung auf https zwingend per .httacess eingebaut.

Der Provider will nun eine Bestätigung, dass die Seite gegenüber DDoS Angriffe gesichert ist, ansonsten bleibt sie gesperrt.

Frage: gibt es Bordmittel, um das zu leisten? was soll geändert werden, wenn möglich ohne die Kosten von dem Zusatzdienst?

Grüße
Norbert

Last edited by byteworker (06.07.2026 11:13:22)

---

= Templates für WBCE

florian

Administrator

Re: DDoS-Angriff - Seite gesperrt

Das ist jetzt etwas verwirrend.

Ging der DDoS von der Seite aus, war also ein Schadscript auf dem Webspace und die Website Teil eines Botnetzwerks o.ä.?
Oder ist die Seite Opfer eines DDoS geworden, wurde also massiv mit Anfragen bombardiert?

Vorab: ich kenne  mich mit so etwas nicht wirklich aus, ich bin kein Sicherheitsfachmann, -forscher oder Serveradministrator.

Im ersten Fall würde ein Update möglicherweise helfen, wobei allerdings dann sehr gründlich geprüft werden müsste, ob noch irgendwo Schadscripte versteckt sind. Schlimmstenfalls die SEite komplett neu aufsetzen. Dann wäre auch die Sperrung gerechtfertigt, aber Cloudflare würde eher nicht dagegen helfen.

Im zweiten Falle würde ein Update nichts helfen, die Seite wird ja von außen angegriffen. In dem Falle finde ich es seltsam, dass der Webhoster eine Schuld- bzw. Pflichtumkehr betreibt, nach meinem Verständnis wäre es Aufgabe des Hosters, dort beheimatete Seiten gegen Angriffe zu schützen. Jegliche Schutzmechanismen müssen mMn immer server- bzw. DNS-seitig erfolgen und haben nichts mit dem CMS zu tun. Da hat man gerade bei Shared Hosting auch gar nicht so weit reichende Konfigurationsmöglichkeiten.

Beim Internetamt gibt's eine Dienstleisterliste. Inwieweit es möglich ist, seinen Shared-Hosting-Webspace selbst so zu konfiguieren, dass alle Anfragen über einen Schutzdienstleister laufen, sei dahingestellt.
https://www.allianz-fuer-cybersicherhei … _node.html

---

Wir Benötigen: Cents, Euros... jetzt spenden!

byteworker

Member

Re: DDoS-Angriff - Seite gesperrt

Ich sende dir mal die Mail vom Provider an den Kunden als PN.

---

= Templates für WBCE

berny

Member

Re: DDoS-Angriff - Seite gesperrt

Zur Abwehr eines DDoS Angriffs ist der Provider zuständig, ist eine Firewall Angelegenheit, darauf hast du vermutlich keinen Zugriff

Um ev Schadsoftware auf deinem Webspace aufzuspüren, kannst du folgendes script anwenden.
Meistens werden scripte verschlüsselt gespeichert, ergo nach Entschlüsselung Tags suchen.

<?php


// Zu scannendes Verzeichnis (Punkt steht fuer das aktuelle Verzeichnis)
$directoryToScan = '.'; 

// eventuell eine dir-scan Schleife hinzufügen, um alle Verzeichnisse zu erfassen

// Verdächtige Funktionen und Muster
$patterns = [
    'eval\s*\('                     => 'Nutzt eval() zur Code-Ausführung',
    'base64_decode\s*\('            => 'Nutzt base64_decode() (Häufig bei Verschlüsselung)',
    'edoced_46esab'                 => 'Rückwärts geschriebenes base64_decode',
    'str_rot13\s*\('                => 'Nutzt ROT13-Verschleierung',
    'gzinflate\s*\('                => 'Nutzt GZ-Komprimierung zur Code-Versteckung',
    'gzuncompress\s*\('             => 'Nutzt GZ-Dekomprimierung',
    'hex2bin\s*\('                  => 'Konvertiert Hex-Code in Binärdaten',
    'chr\s*\(\s*\d+\s*\)\s*\.\s*chr' => 'Verkettung von ASCII-Zeichen (z.B. chr(101).chr(110))',
    '\\\x[0-9a-fA-F]{2}'            => 'Hexadezimale Escapes in Strings (z.B. \x45\x4e)',
];

function scanDirectory($dir, $patterns) {
    $iterator = new RecursiveIteratorIterator(new RecursiveDirectoryIterator($dir));
    $foundMatches = 0;

    foreach ($iterator as $file) {
        // Nur PHP-Dateien prüfen und das Scanner-Skript selbst ignorieren
        if ($file->isFile() && $file->getExtension() === 'php' && $file->getFilename() !== basename(__FILE__)) {
            $filePath = $file->getPathname();
            $content = file_get_contents($filePath);
            
            foreach ($patterns as $pattern => $description) {
                if (preg_match('/' . $pattern . '/i', $content, $matches, PREG_OFFSET_CAPTURE)) {
                    // Zeilennummer bestimmen
                    $line = substr_count(substr($content, 0, $matches[0][1]), "\n") + 1;
                    
                    echo "⚠️ VERDÄCHTIG: $filePath (Zeile $line)\n";
                    echo "   Muster: $description\n";
                    echo "   Code-Auszug: " . trim(substr($content, $matches[0][1], 60)) . "...\n\n";
                    $foundMatches++;
                }
            }
        }
    }
    
    echo "Scan abgeschlossen. $foundMatches verdächtige Stelle(n) gefunden.\n";
}

echo "Starte Scan im Verzeichnis: $directoryToScan...\n\n";
scanDirectory($directoryToScan, $patterns);
Verwende Code mit Vorsicht.

Ohne Gewähr!
Vorher alles sichern!

Eine weitere Möglichkeit wäre, ein verschlüsselter Text in der Datenbank, kommt eher selten vor.

Achtung: Wenn du was gefunden hast, checke diesen Part, ob er nicht original WBCE ist, dann belassen.

Ich hatte vor einigen Jahren einen derartigen Hack....

byteworker

Member

Re: DDoS-Angriff - Seite gesperrt

Danke für Eure Hilfe und der Idee mit dem Script für die Schadsoftware Suche.

Inzwischen wurde die Seite durch den Provider erneut freigeschaltet, ich habe alles erneuert bis auf den blanken Text, per htaccess wurden alle Länder bis auf die DACH Region ausgeschlossen. Da der Kunde im Vorruhestand ist, wird die Seite auch nicht mehr groß angefasst.

---

= Templates für WBCE