帶單引號的文件名在上傳圖片或文件時產生內部500錯誤

上傳帶有單引號的圖片或文件時，在我們的製作中拋出500個內部服務器錯誤，但在我們的localhost和QA實例中，相同的代碼正常工作。帶單引號的文件名在上傳圖片或文件時產生內部500錯誤

我們已經看到了日誌文件（ssl_error_log），並發現下面的錯誤

[星期五05年11月25日：41：56.926603 2016] [：錯誤] [PID 29449] [客戶端183.82.3.44]的ModSecurity ：訪問被代碼44拒絕（階段2）。需要匹配「eq 0」和「MULTIPART_STRICT_ERROR」。 [file「/etc/httpd/conf.d/mod_security.conf」] [line「31」] [id「200002」] [msg「多部分請求主體失敗嚴格驗證：PE 0，BQ 0，BW 0，DB 0 ，DA 0，HF 0，LF 0，SM 0，IQ 1，IP 0，IH 0，FL 0「] [hostname」www.gatewaychamber.com「] [uri」/ edit-profile /「] [unique_id」WDgVc7JgaWA0yezMJ2n @TAAAAAc「]

我們發現在this url解決方案在我的httpd配置文件中禁用規則200002：

SecRuleRemoveById 200002

但是因爲我們想知道的任何安全問題或逃避，我們沒有試過在服務器中禁用此功能後發生攻擊。請提供任何解決方案或建議來解決此問題。另外，任何人都可以請解釋任何安全問題，如果我們禁用此規則SecRuleRemoveById 200002 在modsecurity.conf文件。

如果應該禁用它來解決問題，請告知更好的方法來禁用此規則。或者，我們可以使用jQuery修改前端的文件名嗎？

我已經看到LinkedIn和Facebook和其他一些網站在上傳時接受單引號，沒有任何問題或重命名文件/圖像。這怎麼可能？

在此先感謝。

來源

2016-11-29 Shaik Matheen

閱讀此：https://www.sec-consult.com/fxdata/seccons/prod/temedia/advisories_txt/20121017-0_mod_security_ruleset_bypass.txt – ppovoski

基於來自link的信息，有一種方法可以繞開ModSecurity並潛入一些惡意的php代碼中。

ModSecurity高達2.6.8有此漏洞，應該有規則200002。如果可以將您的ModSecurity版本升級到至少2.7.0，則不再需要該規則。 ModSecurity的當前版本是2.9.1。

來源

2016-11-29 08:33:28 ppovoski

如果我們升級到2.7.0，這個問題是否會得到解決？ –

根據文檔，ModSecurity v2.7.0不存在此問題，因此規則200002不存在或不需要。 – ppovoski

帶單引號的文件名在上傳圖片或文件時產生內部500錯誤

回答

相關問題