ModSecurity Method Not Allow的解决方法

ModSecurity Method Not Allow的解决方法

今天项目上线, 碰到了一个网站打不开的问题. 看了modsec_audit.log后看到的信息是

Method is not allow by policy

做了一些调查, 发现ModelSecurity 默认只允许GET HEAD POST OPTIONS几个方法, 这部分内容定义在REQUEST-901-INITIALIZATION.conf这个文件中

# Default HTTP policy: allowed_methods (rule 900200)
SecRule &TX:allowed_methods “@eq 0”
“id:901160,
phase:1,
pass,
nolog,
ver:‘OWASP_CRS/3.3.0’,
setvar:‘tx.allowed_methods=GET HEAD POST OPTIONS’”

有几种解决办法, 一种是直接改上面的对定, 一种是加规则.
我的办法是加了一条规则, 如果url符合条件就允许delete 和 put方法, 定义如下:

SecRule REQUEST_URI “@beginsWith /abc/xyz/”
“id:800003,
phase:2,
log,
setvar:‘tx.allowed_methods=%{tx.allowed_methods} PUT DELETE’”

然后把这部分内容追加到了REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf的末尾. 注意id不要重复. 重启nginx后网页可以正常打开了.