Quelltext der Seite Fail2Ban mit ISPConfig und open basedir restriction in effect

<u>'''Changelog:'''</u><br>
* 15.03.2026 erste Version
----
==Vorwort==
Ich betreibe schon seit Jahren Webserver mit diversen Webseiten. Basis ist bei mir immer Ubuntu-Server, schon länger setze ich dabei ISPConfig als Verwaltungssoftware ein.<br>
Über diese kann ich bequem die Subdomäne anlegen. ISPConfig sorgt dann dafür das die Webseiten immer unter einem jeweils eigenen Benutzer laufen, mit der gewählten PHP-Version oder auch ganz ohne.<br><br>
Gerade diese Seite hier wird dabei regelmäßig nach Sicherheitslücken aller Art abgesucht.<br>
ISPConfig führt die Logs pro Webseite, diese finden sich unter<br>
 /var/www/znil.net/log/access.log
 /var/www/znil.net/log/error.log
bzw. die echten Pfade
 /var/www/clients/client*/web*/log/access.log
 /var/www/clients/client*/web*/log/error.log
<br>
Gerade im {{code|error.log}} find ich ständig Versuche irgendwelche Shell/Bash Befehle auszuführen:<br>
 [Sun Mar 15 09:35:37.043222 2026] [fcgid:warn] [pid 368061] [client 85.208.96.195:64110] mod_fcgid: stderr: PHP Warning:  file_exists(): open_basedir restriction in effect.
 File(/bin/bash) is not within the allowed path(s):(/var/www/clients/client0/web1/web:/var/www/clients/client0/web1/private:/var/www/clients/client0/web1/tmp ...
Ich habe beschlossen, die Quelladressen solcher Versuche für 2h zu sperren.<br>
Nachfolgend ist die Lösung dafür.<br>
<br>
----
==Voraussetzungen==
Voraussetzung ist für dieses Beispiel, ein Webserver mit Apache2 und installierten Fail2Ban.<br>
Ich habe vor Begin der nachfolgenden Befehle per
 sudo -i
dauerhaft zum {{code|root}} gewechselt!<br>
<br>
----
==Filter erstellen==
 nano /etc/fail2ban/filter.d/apache-basedir.conf
Inhalt:
<source lang="apache">
[Definition]
# Erläuterung der Regex:
# ^          = Zeilenanfang
# .* = Beliebige Zeichen (Datum/PID)
# \[client <ADDR>(:\d+)?\] = Sucht nach [client IP] oder [client IP:Port]
# .* = Beliebige Zeichen dazwischen
# open_basedir restriction in effect = Der Zieltext
failregex = ^.*\[client <ADDR>(:\d+)?\].*open_basedir restriction in effect.*$

ignoreregex =
</source>
----
==jail.conf anpassen==
 nano /etc/fail2ban/jail.local
Folgendes ergänzen:
<source lang="apache">
[apache-basedir]
enabled  = true
port     = http,https
filter   = apache-basedir
logpath  = /var/www/clients/client*/web*/log/error.log
backend  = polling
# oder backend = pyinotify
# 2 Stunden Sperrzeit
bantime  = 7200
# Wie viele Versuche (hier 1, da "open_basedir" oft ein direkter Angriffsversuch ist)
maxretry = 1
findtime = 600
# Eigene IP-Adressen Whitelisten, ggf. weglassen
ignoreip = 127.0.0.1/8 ::1 90.187.238.201 80.153.150.156
</source>
<br>
----
==Neustart und Test==
Neustart:
 systemctl restart fail2ban-service
Test:
 fail2ban-client status apache-basedir
Beispielausgabe:
<source>
Status for the jail: apache-basedir
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/www/clients/client0/web76/log/error.log /var/www/clients/client0/web59/log/error.log /var/www/clients/client0/web40/log/error.log /var/www/clients/client0/web1/log/error.log /var/www/clients/client0/web34/log/error.log /var/www/clients/client0/web24/log/error.log /var/www/clients/client0/web56/log/error.log /var/www/clients/client0/web22/log/error.log /var/www/clients/client0/web36/log/error.log /var/www/clients/client0/web50/log/error.log /var/www/clients/client0/web42/log/error.log /var/www/clients/client0/web77/log/error.log /var/www/clients/client0/web65/log/error.log /var/www/clients/client0/web10/log/error.log /var/www/clients/client0/web71/log/error.log /var/www/clients/client0/web78/log/error.log /var/www/clients/client0/web7/log/error.log /var/www/clients/client0/web61/log/error.log /var/www/clients/client0/web64/log/error.log /var/www/clients/client0/web72/log/error.log /var/www/clients/client0/web66/log/error.log /var/www/clients/client0/web63/log/error.log /var/www/clients/client0/web26/log/error.log /var/www/clients/client0/web29/log/error.log /var/www/clients/client0/web70/log/error.log /var/www/clients/client0/web74/log/error.log /var/www/clients/client0/web37/log/error.log /var/www/clients/client0/web57/log/error.log /var/www/clients/client0/web68/log/error.log /var/www/clients/client0/web47/log/error.log /var/www/clients/client0/web60/log/error.log /var/www/clients/client0/web69/log/error.log /var/www/clients/client0/web44/log/error.log /var/www/clients/client0/web39/log/error.log /var/www/clients/client0/web12/log/error.log /var/www/clients/client0/web23/log/error.log /var/www/clients/client0/web35/log/error.log /var/www/clients/client0/web73/log/error.log /var/www/clients/client0/web8/log/error.log /var/www/clients/client0/web62/log/error.log /var/www/clients/client0/web31/log/error.log /var/www/clients/client0/web67/log/error.log /var/www/clients/client0/web46/log/error.log /var/www/clients/client0/web32/log/error.log
`- Actions
   |- Currently banned: 26
   |- Total banned:     26
   `- Banned IP list:   102.208.164.150 103.148.23.225 154.255.118.195 177.192.199.144 179.106.81.176 185.244.153.128 186.224.30.81 187.74.225.19 189.90.28.210 190.130.142.14 2.213.102.207 216.73.216.101 2400:9700:103:69c5:2197:66b1:22db:c9cf 2600:1700:c165:7c00:bc0c:102a:538a:bd3 2804:14d:4cde:53be:d47c:b718:7b29:67ac 41.143.157.183 45.162.126.188 45.180.51.16 45.19.53.191 47.205.44.108 49.36.168.211 5.9.120.88 50.219.171.129 52.167.144.202 62.49.115.25 73.182.239.193
</source>
Wie Ihr seht klappt das auch mit IPv6 Adressen.<br>
<br>
----
==Adressen wieder entbannen==
Alle:<br>
 fail2ban-client reload --unban apache-basedir
Bestimmte IP:
 fail2ban-client set apache-basedir unbanip 80.153.150.156
<br>
----
==Nachtrag==
Die {{code|open_basedir}} Fehlermeldung wurde durch MediaWiki erzeugt weil dieses tatsächlich einige Shell befehle ausführen würde, z.B. diff oder imagemagick.<br>
Trotzdem habe ich das hier mal als Beispiel für die Zukunft beibehalten.<br>
<br>
----
==Kommentare==
<comments />