apache mod_security 说 - 访问被拒绝错误

Question

背景 -

我的网站代码托管在 Linux 服务器上。我的网站允许雇主进行新注册 (http://www.gymandspajobs.com/Employer/Employer. PHP）。填写的表单由文件夹“/javascript”中的 JavaScript 进行验证，如果发现信息正确，则通过 JavaScript HTTP 请求对象和 PHP 文件“somefile.php”提交数据。 php”保存在根目录下的文件夹“/somefolder”中进行数据库插入。

问题 -

当新用户尝试使用 Firefox 注册时（我在 WinXP SP2、Firefox - v3.5.2 中进行了测试），我收到的 HTTP 响应（我在 JavaScript 文件中点击）为 “您无权访问此服务器上的 /somefolder/somefile.php。”。

令人惊讶的是，相同的功能在 IE7 和 Chrome 中运行得非常好。

问题的最新更新 -

我联系了我的网络托管人员，在收到他们的回复后，我的问题似乎已经解决。

我们已禁用您的域的 mod_security 来修复它。我们已将以下行输入到您域的 httpdocs 目录下的 .htaccess 文件中。我们还已验证并成功提交雇主注册，没有任何问题。 ~~~~~ SecFilterEngine关闭~~~~~~

虽然问题已经解决，但我认为“SecFilterEngine off”可能不是解决这个问题的最佳方案，因为它会损害安全性。因此，我问托管人员是否有办法保持 mod_security 开启，同时让我的功能正常工作……这是他们的答复……

问。有什么方法可以让我的代码在保持 mod_security 开启的情况下工作吗？

答。有可能的。但这并不容易。您必须修改文件中的代码，使 URI 不应具有模式“!(^application/x-www-form-urlencoded$|^multipart/form-data;)”因为我们在 apache 错误日志中找到了此条目 -

<块引用>

mod_security-action：403

mod_security-message：访问被拒绝，代码为 403。HEADER 处的模式匹配“!(^application/x-www-form-urlencoded$|^multipart/form-data;)”("内容类型”）

我通过 JavaScript 使用 HTTP 对象和 POST 方法 -

http.setRequestHeader('Content-Type','application/x-www-form-urlencoded')

请指导我需要在上面的代码行中进行哪些更改，以便 mod_security 可以保持打开状态，但我的注册表单将工作？

谢谢和问候，

-Rupak Kharvandikar-

Answer 1

在这种情况下，最好的办法就是将该特定警告视为误报，因为事实确实如此。请记住，mod_security 不支持内容编码，当您处理 WAF 时，误报是很正常的事情。

不过，仅仅为了一个误报而禁用所有 mod_security 规则是愚蠢的。查找正在触发的规则的 ID 并将其禁用“SecRuleRemoveById”。在我的框中，我创建了一个附加配置来放置我想要禁用的所有规则。

modsecurity_crs_60_myignores.conf

SecRuleRemoveById 960903

SecRuleRemoveById 970903

SecRuleRemoveById 970902

Answer 2

我成功地在 Firefox 中创建了一个帐户，没有出现任何问题。