У нашего клиента есть ModSecurity 2.0 с набором правил 2.0.5, но он сообщил нам эту незначительную деталь в конце разработки.
Мне нужно проверить весь код приложения и убедиться, что он не мешает ModSecurity. (Уже есть)
Я знаю, что вы не можете отправлять формы в POST с ключевыми «content» и «document», что сильно влияет на наше приложение.
Учитывая номер версии / набора правил ModSecurity, где я могу найти понятное объяснение того, что я не должен использовать для ключей $ _GET и $ _POST и / или значений запрещенных заголовков?
Документация, которую я нашел на веб-сайте, носит слишком общий характер, или, возможно, я неправильно ее прочитал.
Спасибо
добро пожаловать в serverfault.
Не существует такого понятия, как «ключ».
Клиент должен предоставить существующие правила, разрешающие или ограничить запросы или напиши новые или предоставить очень подробную информацию о том, что они блокируют при параллельном тестировании системы. или-или-или
Аудит кода приложения вам не поможет, дело не в коде, а в работе:
Создайте документ, укажите, как следует отправлять и получать запросы и ответы - содержание, структура, аутентификация и т. Д. - все - строгий документ.
Набор правил 2.0.5 не будет просто установлен, он будет сильно изменен или настроен. В противном случае он заблокирует большинство приложений и клиентов. Итак, попросите клиента предоставить копию файлов правил с сервера, не пытайтесь использовать файлы с официального сайта - это бесполезно, оно всегда изменяется в соответствии с потребностями клиента. Затем проверьте все правила одно за другим (да, вам нужно будет узнать, как написаны правила), проверьте, где это может мешать вашему приложению, протестируйте его в своей системе, посмотрите журналы аудита modsecurity, чтобы увидеть, в чем проблема , перепишите приложение или добавьте новые правила.
Документация, которую я нашел на веб-сайте, носит слишком общий характер, или, возможно, я неправильно ее прочитал.
Документация на сайте ОЧЕНЬ подробная, огромная: https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual