modsecurity troubleshoting

最新推荐文章于 2024-07-01 00:01:43 发布

chg1226

最新推荐文章于 2024-07-01 00:01:43 发布

阅读量711

点赞数

文章标签： linux nginx

本文链接：https://blog.csdn.net/chg1226/article/details/108342590

版权

在启用ModSecurity作为WAF后，遇到正常页面被拦截并返回403错误的问题。通过分析audit日志发现是由于SQL参数触发了规则932115和942100。为了解决这个问题，对请求URI为'/sqlurl/'的页面创建了白名单，移除了触发错误的规则，从而避免误报。修改配置文件并在重启nginx后，问题得到解决。

摘要由CSDN通过智能技术生成

modsecurity troubleshoting

最近上了modsecurity做waf, 但几个正常页面报403了, 看页面上的显示错误, 是modsecurity拦截了.

这个页面上是通过执行sql返回结果的, 估计是被识别成了sql注入.

分析问题

打开audit日志

首先要打开modsecurity的audit log, 默认是已经打开了, 位置在/var/log/modsec_audit.log. 如果没有打开可以参考以下步骤.

配置文件**/etc/nginx/modsec/modsecurity.conf**.

找到以下几行, 做相应的修改

SecAuditLogType Serial
SecAuditLog /var/log/nginx/modsec_audit.log #日志路径

SecAuditEngine RelevantOnly #Off关闭, On打开并记所有处理记录, ReleventOnly只记触发了warning和error的.
SecAuditLogRelevantStatus "^(?:5|4(?!04))" #只记是500和400系统的error和warning, 但排除了404
SecAuditLogParts ABIJDEFHZ #具体哪部分写入日志, 详细看下表