Мне трудно создать новое правило 2.5 безопасности мода.
Мое развертывание: сервер Apache, настройка как обратный прокси. (поэтому веб-сервер apache __ не размещает веб-сайт. Вместо этого я проксирую запросы на другой сервер, который отвечает на веб-запросы.)
Веб-сервер использует токены аутентификации, чтобы переписать URL-адрес веб-сайта на безопасный URL-адрес.
75.75.75.75 - - [01/May/2015:10:55:14 -0400] "GET /record/example.svc/js HTTP/1.1" 200 1786 "https://example.org/example.aspx?XOW%5eLdz%3c2%2f1%2f42%2527kbmhtbffJfx%3e0%2527qpkf%5ejc%3e2%2527Cfruho%60uhpmXOW%5eLdz%3c2%2f1%2f42%2527RptsbfVQU%60Jfx%3e193%2527qpkf%5ejc%3e2%2527RptsbfVQU%60Ejqts%60Bihmc%60Mblf%3cSdrtfru%1fTbpqjmh"
Эта проблема:
Modsecurity в настоящее время сканирует URI. Из-за природы случайных URI было произведено много ложных срабатываний. Чтобы предотвратить это, я хочу исключить все URI из сканирования.
Поскольку токены перезаписи, перенаправления и аутентификации генерируются на веб-сервере (и именно так мы хотим его сохранить), как я могу сообщить безопасности мода, что эти заголовки являются законными и не сканируют их?
75.75.75.75 - - [01/May/2015:10:55:52 -0400] "GET /thing.aspx?XOW%5eLdz%3c375%25cddnnd%60ttds%5ebt%60he%3c5%2f58328 HTTP/1.1" 200 15100 "https://example.org/example.aspx?XOW%5eLdz%3c2%2f1%2f42%2527kbmhtbffJfx%3e0%2527qpkf%5ejc%3e2%2527Cfruho%60uhpmXOW%5eLdz%3c2%2f1%2f42%2527RptsbfVQU%60Jfx%3e193%2527qpkf%5ejc%3e2%2527RptsbfVQU%60Ejqts%60Bihmc%60Mblf%3cSdrtfru%1fTbpqjmh"
75.75.75.75 - - [01/May/2015:10:55:52 -0400] "GET /example/example.svc/js HTTP/1.1" 200 1786 "https://example.org/example.aspx?XOW%5eLdz%3c375%25cddnnd%60ttds%5ebt%60he%3c5%2f58328"
После ответа в комментариях к исходному вопросу;
Короче говоря, невозможно исключить URI из проверки, ModSecurity, как и другие продукты, основан на правилах / сигнатурах.
Однако вы можете получить идентификатор правила для своих ложных срабатываний (из журнала ошибок apache для VirtualHost) и выполнить SecRemoveRuleById 123456 в вашей конфигурации apache, это позволит вам удалить ложные срабатывания из сопоставления.
Я настоятельно рекомендую вам делать это максимально избирательно, используя LocationMatch директива или подобное
За чат, Хрвое показывает пример или цепочку правил, которые могут быть полезны