Question

我在Plesk 12中遇到了mod_security问题。尝试禁用特定域中的规则。通过使用域上的plesk工具，我试图禁用规则：340465。（“ARGS中的远程文件注入尝试”）

查看该域的httpd.conf我可以看到它已被应用：

<IfModule mod_security2.c>
      SecRuleEngine On
      SecRuleRemoveById 340465
</IfModule>

但是域名管理员中的特定操作（cubecart~在其中一个字段中保存带有URL链接的产品）仍然会使规则跳转。

我在应用plesk更改后手动重启httpd
我把/var / log / modsec_audit.log＆gt;没有其他规则被绊倒（仅340465）
此EXACT流程可在另一个域中完美地运行规则：350147

这是日志条目：

Message:  [file "/etc/httpd/conf/modsecurity.d/rules/tortix/modsec/50_plesk_basic_asl_rules.conf"] [line "386"] [id "340465"] [rev "56"] [msg "Protected by Atomicorp.com Basic Non-Realtime WAF Rules: Remote File Injection attempt in ARGS (admin.php)"] [severity "CRITICAL"] Access denied with code 403 (phase 2). Match of "rx ://%{SERVER_NAME}/" against "ARGS:digitalDir" required.
Action: Intercepted (phase 2)
Apache-Handler: php5-script
Stopwatch: 1476823326390407 42244 (- - -)
Stopwatch2: 1476823326390407 42244; combined=7021, p1=2, p2=7017, p3=0, p4=0, p5=2, sr=0, sw=0, l=0, gc=0
Producer: ModSecurity for Apache/2.9.1 (http://www.modsecurity.org/); 201610141331.
Server: Apache
Engine-Mode: "ENABLED"

关于这里发生了什么（不是？）的任何想法 - 为什么这个规则仍在处理？

Answer 1

SecRuleRemoveById需要在其删除的ID之后指定。

我的猜测是你在SecRuleRemoveById调用之后而不是之前在配置中加载/etc/httpd/conf/modsecurity.d/rules/tortix/modsec/50_plesk_basic_asl_rules.conf。

mod_security规则不会停止处理

1 个答案: