搜索

[15555] 2020-07-01_ModSecurityOWASP核心规则集的两种配置模式

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-01_ModSecurityOWASP核心规则集的两种配置模式 M o d S e c u r i t y   O W A S P 核 心 规 则 集 的 两 种 配 置 模 式 w a n g z i 2 0 4 9   F r e e B u f   2 0 2 0 - 0 7 - 0 1 本 文 主 要 介 绍 O W A S P 核 心 规 则 集 的 两 种 配 置 模 式 。 O W A S P 规 则 的 官 方 G i t h u b 地 址 ： h t t p s : / / g i t h u b . c o m / c o r e r u l e s e t / c o r e r u l e s e t 。 O W A S P   V 3 版 本 核 心 规 则 集 目 前 支 持 两 种 配 置 模 式 ： 异 常 评 分 模 式 （ 默 认 ） 和 异 常 评 分 模 式 （ 默 认 ） 和 * * 独 自 控 制 模 式 * * 异 常 评 分 模 式 异 常 评 分 模 式 ， 也 可 称 为 ” 协 同 检 测 模 式 ” ， 在 此 模 式 下 ， 当 检 测 到 威 胁 时 ， 并 不 会 直 接 阻 断 此 次 请 求 ， 而 是 向 下 继 续 进 行 规 则 匹 配 ， 每 个 匹 配 成 功 的 规 则 都 会 增 加 ” 异 常 分 数 ” ， 在 对 请 求 数 据 检 测 结 束 时 ， 以 及 对 返 回 数 据 检 测 结 束 时 ， 都 会 对 异 常 分 数 的 总 和 进 行 判 断 ， 如 果 大 于 设 置 的 阈 值 ， 才 会 进 行 阻 断 动 作 ， 并 向 客 户 端 返 回 4 0 3 代 码 ， 审 计 日 志 中 也 会 记 录 此 次 访 问 中 所 有 匹 配 成 功 的 规 则 信 息 。 独 自 控 制 模 式 独 自 控 制 模 式 ， 此 模 式 是 V 2 版 本 规 则 集 的 默 认 模 式 ， 它 的 工 作 方 式 是 ， 只 要 有 一 条 规 则 匹 配 成 功 ， 便 拦 截 此 次 访 问 ， 审 计 日 志 中 也 只 会 记 录 第 一 次 检 测 到 威 胁 的 规 则 信 息 。 因 此 ， 通 过 上 述 描 述 我 们 可 以 简 单 得 出 两 种 模 式 的 优 缺 点 ： 异 常 评 分 模 式 异 常 评 分 模 式 ： 由 于 每 次 请 求 都 会 匹 配 所 有 规 则 ， 因 此 在 高 并 发 情 况 下 ， 效 率 相 对 较 低 ， 服 务 器 资 源 占 用 较 高 ， 但 误 报 率 相 对 较 低 ； 独 自 控 制 模 式 独 自 控 制 模 式 ： 检 测 到 一 次 威 胁 就 直 接 阻 断 请 求 ， 因 此 在 高 并 发 情 况 下 ， 效 率 相 对 较 高 ， 服 务 器 资 源 占 用 较 小 ， 但 误 报 率 相 对 较 高 。 除 此 之 外 该 模 式 还 有 一 个 优 点 ， 即 可 以 通 过 全 局 配 置 ， 设 置 当 访 问 被 拦 截 后 ， 跳 转 到 自 定 义 的 提 示 页 面 。 如 何 配 置 跳 转 到 自 定 义 提 示 页 面 ， 可 参 见 h t t p : / / m o d s e c u r i t y . c n / p r a c t i c e / p o s t / 8 . h t m l 。 在 配 置 上 ， 两 者 配 置 区 别 如 下 （ 在 c r s - s e t u p . c o n f 中 进 行 配 置 ） ： 异 常 评 分 模 式 异 常 评 分 模 式 ： 由 于 是 所 有 规 则 都 进 行 匹 配 ， 因 此 S e c D e f a u l t A c t i o n 并 未 使 用 ” d e n y ” 关 键 词 ， 而 是 使 用 ” p a s s ” ， 即 检 测 到 威 胁 后 继 续 下 一 规 则 的 匹 配 。 其 中 l o g 代 表 记 录 错 误 日 志 ， 通 常 内 容 记 录 在 W E B 服 务 的 错 误 日 志 文 件 中 ， a u d i t l o g 代 表 记 录 审 计 日 志 ， 保 存 此 次 请 求 的 详 细 信 息 。 如 不 需 要 记 录 l o g 或 a u d i t l o g ， 直 接 删 除 对 应 的 关 键 词 即 可 。 独 自 控 制 模 式 独 自 控 制 模 式 ： 此 配 置 表 示 ， 只 要 检 测 到 威 胁 ， 则 使 用 ” d e n y ” 关 键 词 对 此 次 访 问 进 行 阻 断 ， 同 时 向 服 务 器 返 回 4 0 3 错 误 代 码 。 在 审 计 日 志 中 ， 我 们 也 能 看 到 明 显 的 差 异 ， 比 如 模 拟 一 次 简 单 的 攻 击 ， 如 h t t p : / / 服 务 器 I P / ? p a r a m = % 2 2 % 3 E % 3 C s c r i p t % 3 E a l e r t ( 1 ) ; % 3 C / s c r i p t % 3 E ， 两 种 模 式 所 记 录 的 审 计 日 志 如 下 （ 主 要 看 日 志 的 H 部 分 ） ： 异 常 评 分 模 式 下 的 审 计 日 志 异 常 评 分 模 式 下 的 审 计 日 志 ： S e c D e f a u l t A c t i o n   " p h a s e : 1 , l o g , a u d i t l o g , p a s s " S e c D e f a u l t A c t i o n   " p h a s e : 2 , l o g , a u d i t l o g , p a s s " S e c D e f a u l t A c t i o n   " p h a s e : 1 , l o g , a u d i t l o g , d e n y , s t a t u s : 4 0 3 " S e c D e f a u l t A c t i o n   " p h a s e : 2 , l o g , a u d i t l o g , d e n y , s t a t u s : 4 0 3 " - - - 5 W C H v u 3 z - - - A - - [ 2 2 / M a y / 2 0 2 0 : 1 7 : 1 6 : 1 4   + 0 8 0 0 ]   1 5 9 0 1 3 8 9 7 4 3 5 . 5 6 0 4 5 5   1 1 6 . 2 5 5 . 1 3 2 . 1 2   5 2 8 9   1 7 2 . 2 1 . 0 . 1 5   8 0 - - - 5 W C H v u 3 z - - - B - - G E T   / ? p a r a m = % 2 2 % 3 E % 3 C s c r i p t % 3 E a l e r t ( 1 ) ; % 3 C / s c r i p t % 3 E   H T T P / 1 . 1 H o s t :   4 9 . 2 3 3 . 8 0 . 2 3 9 C o n n e c t i o n :   k e e p - a l i v e P r a g m a :   n o - c a c h e C a c h e - C o n t r o l :   n o - c a c h e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 1 . 0 . 4 0 4 4 . 1 3 8   S a f a r i / 5 3 7 . 3 6 C o o k i e :   m e m S i z e = 1 8 3 8 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 - - - 5 W C H v u 3 z - - - D - - - - - 5 W C H v u 3 z - - - E - - < h t m l > x 0 d x 0 a < h e a d > < t i t l e > 4 0 3   F o r b i d d e n < / t i t l e > < / h e a d > x 0 d x 0 a < b o d y > x 0 d x 0 a < c e n t e r > < h 1 > 4 0 3   F o r b i d d e n < / h 1 > < / c e n t e r > x 0 d x 0 a < h r > < c e n t e r > n g i n x / 1 . 1 6 . 1 < / c e n t e r > x 0 d x 0 a < / b o d y > x 0 d x 0 a < / h t m l > x 0 d x 0 a < ! - -   a   p a d d i n g   t o   d i s a b l e   M S I E   a n d   C h r o m e   f r i e n d l y   e r r o r   p a g e   - - > x 0 d x 0 a < ! - -   a   p a d d i n g   t o   d i s a b l e   M S I E   a n d   C h r o m e   f r i e n d l y   e r r o r   p a g e   - - > x 0 d x 0 a < ! - -   a   p a d d i n g   t o   d i s a b l e   M S I E   a n d   C h r o m e   f r i e n d l y   e r r o r   p a g e   - - > x 0 d x 0 a < ! - -   a   p a d d i n g   t o   d i s a b l e   M S I E   a n d   C h r o m e   f r i e n d l y   e r r o r   p a g e   - - > x 0 d x 0 a < ! - -   a   p a d d i n g   t o   d i s a b l e   M S I E   a n d   C h r o m e   f r i e n d l y   e r r o r   p a g e   - - > x 0 d x 0 a < ! - -   a   p a d d i n g   t o   d i s a b l e   M S I E   a n d   C h r o m e   f r i e n d l y   e r r o r   p a g e   - - > x 0 d x 0 a - - - 5 W C H v u 3 z - - - F - - H T T P / 1 . 1   4 0 3 S e r v e r :   n g i n x / 1 . 1 6 . 1 D a t e :   F r i ,   2 2   M a y   2 0 2 0   0 9 : 1 6 : 1 4   G M T C o n t e n t - L e n g t h :   5 5 5 C o n t e n t - T y p e :   t e x t / h t m l C o n n e c t i o n :   k e e p - a l i v e - - - 5 W C H v u 3 z - - - H - - M o d S e c u r i t y :   W a r n i n g .   d e t e c t e d   X S S   u s i n g   l i b i n j e c t i o n .   [ f i l e   " / u s r / l o c a l / n g i n x / c o n f / m o d s e c u r i t y / r u l e s / R E Q U E S T - 9 4 1 - A P P L I C A T I O N - A T T A C K - X S S . c o n f " ]   [ l i n e   " 3 7 " ]   [ i d   " 9 4 1 1 0 0 " ]   [ r e v   M o d S e c u r i t y :   W a r n i n g .   M a t c h e d   " O p e r a t o r   ` R x '   w i t h   p a r a m e t e r   ` ( ? i ) < s c r i p t [ ^ > ] * > [ s S ] * ? '   a g a i n s t   v a r i a b l e   ` A R G S : p a r a m '   ( V a l u e :   ` " > < s c r i p t > a l e r t ( 1 ) ; < / s c r i p t > '   )   [ f i l e   " / u s r / l o c a l / n g i n x / c o n f / m o d s e c u r i t y / r u l e s / R E Q U E S T - 9 4 1 - A P P L I C A T I O N - A T T A C K - X S S . c o n f " M o d S e c u r i t y :   W a r n i n g .   M a t c h e d   " O p e r a t o r   ` R x '   w i t h   p a r a m e t e r   ` ( ? i : ( ? : < w [ s S ] * [ s / ] | [ ' " ] ( ? : [ s S ] * [ s / ] ) ? ) ( ? : o n ( ? : d ( ? : e ( ? : v i c e ( ? : ( ? : o r i e n t a | m o ) t i o n | p r o x i m i t y | f o u n d | l i g h t ) | l i v e r y ( ? : s u c c e s s | e r r o r ) | a c t i v a t e ) | r ( ? : a g ( ? : e ( ? : n ( ? : t e r | d ) | x i t ) | ( ? : g e s t u r | l e a v ) e | s t a r t | d   ( 3 1 4 6   c h a r a c t e r s   o m i t t e d ) '   a g a i n s t   v a r i a b l e   ` A R G S : p a r a m '   ( V a l u e :   ` " > < s c r i p t > a l e r t ( 1 ) ; < / s c r i p t > '   )   [ f i l e   " M o d S e c u r i t y :   A c c e s s   d e n i e d   w i t h   c o d e   4 0 3   ( p h a s e   2 ) .   M a t c h e d   " O p e r a t o r   ` G e '   w i t h   p a r a m e t e r   ` 5 '   a g a i n s t   v a r i a b l e   ` T X : A N O M A L Y _ S C O R E '   ( V a l u e :   ` 1 5 '   )   [ f i l e   " / u s r / l o c a l / n g i n x / c o n f / m o d s e c u r i t y / r u l e s / R E Q U E S T -
上 述 审 计 日 志 表 示 ， 此 次 访 问 ， 分 别 触 发 了 I D 为 9 4 1 1 0 0 、 9 4 1 1 1 0 、 9 4 1 1 6 0 三 条 规 则 ， 最 终 I D 为 9 4 9 1 1 0 的 规 则 对 异 常 分 数 的 总 和 进 行 判 断 ， 发 现 大 于 设 置 的 阈 值 ， 便 执 行 阻 断 操 作 ， 向 客 户 端 返 回 4 0 3 错 误 代 码 ， 拦 截 此 次 访 问 。 此 次 拦 截 在 异 常 评 分 模 式 下 涉 及 到 的 规 则 以 及 触 发 流 程 如 下 ： 首 先 ， 是 R E Q U E S T - 9 0 1 - I N I T I A L I Z A T I O N . c o n f 文 件 中 的 三 条 规 则 ， I D 分 别 为 9 0 1 1 0 0 、 9 0 1 1 2 0 、 9 0 1 1 4 0 ， 内 容 如 下 所 示 ： 此 三 条 规 则 通 过 s e t v a r 关 键 字 分 别 初 始 了 三 个 变 量 的 值 ， t x . i n b o u n d _ a n o m a l y _ s c o r e _ t h r e s h o l d 为 5 ， t x . p a r a n o i a _ l e v e l 为 1 ， t x . c r i t i c a l _ a n o m a l y _ s c o r e 为 5 ， 其 中 t x . i n b o u n d _ a n o m a l y _ s c o r e _ t h r e s h o l d 为 最 终 判 断 是 否 要 阻 断 此 次 请 求 的 阈 值 。 然 后 ， 此 次 访 问 分 别 触 发 了 R E Q U E S T - 9 4 1 - A P P L I C A T I O N - A T T A C K - X S S . c o n f 文 件 中 的 三 条 规 则 ， I D 分 别 为 9 4 1 1 0 0 、 9 4 1 1 1 0 、 9 4 1 1 6 0 ， 内 容 如 下 ： S e c R u l e   & T X : i n b o u n d _ a n o m a l y _ s c o r e _ t h r e s h o l d   " @ e q   0 "           " i d : 9 0 1 1 0 0 ,         p h a s e : 1 ,         p a s s ,         n o l o g ,         s e t v a r : ' t x . i n b o u n d _ a n o m a l y _ s c o r e _ t h r e s h o l d = 5 ' " S e c R u l e   & T X : p a r a n o i a _ l e v e l   " @ e q   0 "           " i d : 9 0 1 1 2 0 ,         p h a s e : 1 ,         p a s s ,         n o l o g ,         s e t v a r : ' t x . p a r a n o i a _ l e v e l = 1 ' " S e c R u l e   & T X : c r i t i c a l _ a n o m a l y _ s c o r e   " @ e q   0 "           " i d : 9 0 1 1 4 0 ,         p h a s e : 1 ,         p a s s ,         n o l o g ,         s e t v a r : ' t x . c r i t i c a l _ a n o m a l y _ s c o r e = 5 ' " S e c R u l e   R E Q U E S T _ C O O K I E S | ! R E Q U E S T _ C O O K I E S : / _ _ u t m / | R E Q U E S T _ C O O K I E S _ N A M E S | R E Q U E S T _ H E A D E R S : U s e r - A g e n t | A R G S _ N A M E S | A R G S | X M L : / *   " @ d e t e c t X S S "           " i d : 9 4 1 1 0 0 ,         p h a s e : 2 ,         b l o c k ,         t : n o n e , t : u t f 8 t o U n i c o d e , t : u r l D e c o d e U n i , t : h t m l E n t i t y D e c o d e , t : j s D e c o d e , t : c s s D e c o d e , t : r e m o v e N u l l s ,         m s g : ' X S S   A t t a c k   D e t e c t e d   v i a   l i b i n j e c t i o n ' ,         l o g d a t a : ' M a t c h e d   D a t a :   X S S   d a t a   f o u n d   w i t h i n   % { M A T C H E D _ V A R _ N A M E } :   % { M A T C H E D _ V A R } ' ,         t a g : ' a p p l i c a t i o n - m u l t i ' ,         t a g : ' l a n g u a g e - m u l t i ' ,         t a g : ' p l a t f o r m - m u l t i ' ,         t a g : ' a t t a c k - x s s ' ,         t a g : ' p a r a n o i a - l e v e l / 1 ' ,         t a g : ' O W A S P _ C R S ' ,         t a g : ' O W A S P _ C R S / W E B _ A T T A C K / X S S ' ,         t a g : ' W A S C T C / W A S C - 8 ' ,         t a g : ' W A S C T C / W A S C - 2 2 ' ,         t a g : ' O W A S P _ T O P _ 1 0 / A 3 ' ,         t a g : ' O W A S P _ A p p S e n s o r / I E 1 ' ,         t a g : ' C A P E C - 2 4 2 ' ,         c t l : a u d i t L o g P a r t s = + E ,         v e r : ' O W A S P _ C R S / 3 . 2 . 0 ' ,         s e v e r i t y : ' C R I T I C A L ' ,         s e t v a r : ' t x . x s s _ s c o r e = + % { t x . c r i t i c a l _ a n o m a l y _ s c o r e } ' ,         s e t v a r : ' t x . a n o m a l y _ s c o r e _ p l 1 = + % { t x . c r i t i c a l _ a n o m a l y _ s c o r e } ' " S e c R u l e   R E Q U E S T _ C O O K I E S | ! R E Q U E S T _ C O O K I E S : / _ _ u t m / | R E Q U E S T _ C O O K I E S _ N A M E S | R E Q U E S T _ F I L E N A M E | R E Q U E S T _ H E A D E R S : U s e r - A g e n t | R E Q U E S T _ H E A D E R S : R e f e r e r | A R G S _ N A M E S | A R G S | X M L : / *   " @ r x   ( ? i ) < s c r i p t [ ^ > ] * > [ s S ] * ? "           " i d : 9 4 1 1 1 0 ,         p h a s e : 2 ,         b l o c k ,         c a p t u r e ,         t : n o n e , t : u t f 8 t o U n i c o d e , t : u r l D e c o d e U n i , t : h t m l E n t i t y D e c o d e , t : j s D e c o d e , t : c s s D e c o d e , t : r e m o v e N u l l s ,         m s g : ' X S S   F i l t e r   -   C a t e g o r y   1 :   S c r i p t   T a g   V e c t o r ' ,         l o g d a t a : ' M a t c h e d   D a t a :   % { T X . 0 }   f o u n d   w i t h i n   % { M A T C H E D _ V A R _ N A M E } :   % { M A T C H E D _ V A R } ' ,         t a g : ' a p p l i c a t i o n - m u l t i ' ,         t a g : ' l a n g u a g e - m u l t i ' ,         t a g : ' p l a t f o r m - m u l t i ' ,         t a g : ' a t t a c k - x s s ' ,         t a g : ' p a r a n o i a - l e v e l / 1 ' ,         t a g : ' O W A S P _ C R S ' ,         t a g : ' O W A S P _ C R S / W E B _ A T T A C K / X S S ' ,         t a g : ' W A S C T C / W A S C - 8 ' ,         t a g : ' W A S C T C / W A S C - 2 2 ' ,         t a g : ' O W A S P _ T O P _ 1 0 / A 3 ' ,         t a g : ' O W A S P _ A p p S e n s o r / I E 1 ' ,         t a g : ' C A P E C - 2 4 2 ' ,         c t l : a u d i t L o g P a r t s = + E ,         v e r : ' O W A S P _ C R S / 3 . 2 . 0 ' ,         s e v e r i t y : ' C R I T I C A L ' ,         s e t v a r : ' t x . x s s _ s c o r e = + % { t x . c r i t i c a l _ a n o m a l y _ s c o r e } ' ,         s e t v a r : ' t x . a n o m a l y _ s c o r e _ p l 1 = + % { t x . c r i t i c a l _ a n o m a l y _ s c o r e } ' "
I D 为 9 4 9 0 6 0 的 规 则 表 示 ， 当 t x . p a r a n o i a _ l e v e l 的 值 为 1 时 ， 创 建 变 量 t x . a n o m a l y _ s c o r e ， 同 时 赋 予 t x . a n o m a l y _ s c o r e _ p l 1 变 量 的 值 ， 此 时 t x . a n o m a l y _ s c o r e 的 值 也 成 为 了 1 5 ， 然 后 ， I D 为 9 4 9 1 1 0 的 规 则 对 t x . a n o m a l y _ s c o r e 变 量 进 行 判 断 ， 如 果 大 于 t x . i n b o u n d _ a n o m a l y _ s c o r e _ t h r e s h o l d 变 量 的 值 ， 则 通 过 d e n y 关 键 词 进 行 阻 断 ， 而 t x . i n b o u n d _ a n o m a l y _ s c o r e _ t h r e s h o l d 变 量 初 始 值 为 5 ， 1 5 > 5 ， t x . a n o m a l y _ s c o r e > t x . i n b o u n d _ a n o m a l y _ s c o r e _ t h r e s h o l d ， 条 件 匹 配 成 功 ， 此 次 访 问 被 阻 断 。 当 然 ， 实 际 参 与 此 次 访 问 判 断 的 规 则 并 非 只 有 上 述 规 则 ， 本 人 只 是 将 涉 及 到 此 次 拦 截 的 规 则 单 独 摘 取 出 来 ， 进 行 拦 截 流 程 的 简 要 介 绍 。 独 自 控 制 模 式 下 的 审 计 日 志 ： S e c R u l e   R E Q U E S T _ C O O K I E S | ! R E Q U E S T _ C O O K I E S : / _ _ u t m / | R E Q U E S T _ C O O K I E S _ N A M E S | R E Q U E S T _ H E A D E R S : U s e r - A g e n t | R E Q U E S T _ H E A D E R S : R e f e r e r | A R G S _ N A M E S | A R G S | X M L : / *   " @ r x   ( ? i : ( ? : < w [ s S ] * [ s / ] | [ ' " ] ( ? : [ s S ] * [ s / ] ) ? ) ( ? : o n ( ? : d ( ? : e ( ? : v i c e ( ? : ( ? : o r i e n t a | m o ) t i o n | p r o x i m i t y | f o u n d | l i g h t ) | l i v e r y ( ? : s u c c e s s | e r r o r ) | a c t i v a t e ) | r ( ? : a g ( ? : e ( ? : n ( ? : t e r | d ) | x i t ) | ( ? : g e s t u r | l e a v ) e | s t a r t | d r o p | o v e r ) | o p ) | i ( ? : s ( ? : c ( ? : h a r g i n g t i m e c h a n g e | o n n e c t ( ? : i n g | e d ) ) | a b l e d ) | a l i n g ) | a t a ( ? : s e t c ( ? : o m p l e t e | h a n g e d ) | ( ? : a v a i l a b l | c h a n g ) e | e r r o r ) | u r a t i o n c h a n g e | o w n l o a d i n g | b l c l i c k ) | M o z ( ? : M ( ? : a g n i f y G e s t u r e ( ? : U p d a t e | S t a r t ) ? | o u s e ( ? : P i x e l S c r o l l | H i t t e s t ) ) | S ( ? : w i p e G e s t u r e ( ? : U p d a t e | S t a r t | E n d ) ? | c r o l l e d A r e a C h a n g e d ) | ( ? : ( ? : P r e s s ) ? T a p G e s t u r | B e f o r e R e s i z ) e | E d g e U I ( ? : C ( ? : o m p l e t | a n c e l ) | S t a r t ) e d | R o t a t e G e s t u r e ( ? : U p d a t e | S t a r t ) ? | A ( ? : u d i o A v a i l a b l e | f t e r P a i n t ) ) | c ( ? : o ( ? : m ( ? : p ( ? : o s i t i o n ( ? : u p d a t e | s t a r t | e n d ) | l e t e ) | m a n d ( ? : u p d a t e ) ? ) | n ( ? : t ( ? : r o l s e l e c t | e x t m e n u ) | n e c t ( ? : i n g | e d ) ) | p y ) | a ( ? : ( ? : l l s c h a n g | c h ) e d | n p l a y ( ? : t h r o u g h ) ? | r d s t a t e c h a n g e ) | h ( ? : ( ? : a r g i n g ( ? : t i m e ) ? c h ) ? a n g e | e c k i n g ) | ( ? : f s t a t e | e l l ) c h a n g e | u ( ? : e c h a n g e | t ) | l ( ? : i c k | o s e ) ) | s ( ? : t ( ? : a ( ? : t ( ? : u s c h a n g e d | e c h a n g e ) | l l e d | r t ) | k ( ? : s e s s i o n e | c o m m a ) n d | o p ) | e ( ? : e k ( ? : c o m p l e t e | i n g | e d ) | ( ? : l e c ( ? : t s t a r ) ? ) ? t | n ( ? : d i n g | t ) ) | ( ? : p e e c h | o u n d ) ( ? : s t a r t | e n d ) | u ( ? : c c e s s | s p e n d | b m i t ) | c r o l l | h o w ) | m ( ? : o ( ? : z ( ? : ( ? : p o i n t e r l o c k | f u l l s c r e e n ) ( ? : c h a n g e | e r r o r ) | ( ? : o r i e n t a t i o n | t i m e ) c h a n g e | n e t w o r k ( ? : d o w n | u p ) l o a d ) | u s e ( ? : ( ? : l e a | m o ) v e | o ( ? : v e r | u t ) | e n t e r | w h e e l | d o w n | u p ) | v e ( ? : s t a r t | e n d ) ? ) | e s s a g e | a r k ) | a ( ? : n ( ? : i m a t i o n ( ? : i t e r a t i o n | s t a r t | e n d ) | t e n n a s t a t e c h a n g e ) | f t e r ( ? : ( ? : s c r i p t e x e c u | u p d a ) t e | p r i n t ) | u d i o ( ? : p r o c e s s | s t a r t | e n d ) | d ( ? : a p t e r a d d e d | d t r a c k ) | c t i v a t e | l e r t i n g | b o r t ) | b ( ? : e ( ? : f o r e ( ? : ( ? : ( ? : d e ) ? a c t i v a | s c r i p t e x e c u ) t e | u ( ? : n l o a d | p d a t e ) | p ( ? : a s t e | r i n t ) | c ( ? : o p y | u t ) | e d i t f o c u s ) | g i n ( ? : E v e n t ) ? ) | o u n ( ? : d a r y | c e ) | l ( ? : o c k e d | u r ) | r o a d c a s t | u s y ) | D O M ( ? : N o d e ( ? : I n s e r t e d ( ? : I n t o D o c u m e n t ) ? | R e m o v e d ( ? : F r o m D o c u m e n t ) ? ) | ( ? : C h a r a c t e r D a t a | S u b t r e e ) M o d i f i e d | A ( ? : t t r M o d i f i e d | c t i v a t e ) | F o c u s ( ? : O u t | I n ) | M o u s e S c r o l l ) | r ( ? : e ( ? : s ( ? : u ( ? : m ( ? : i n g | e ) | l t ) | i z e | e t ) | a d y s t a t e c h a n g e | p e a ( ? : t E v e n ) ? t | m o v e t r a c k | t r i e v i n g | c e i v e d ) | o w ( ? : s ( ? : i n s e r t e d | d e l e t e ) | e ( ? : n t e r | x i t ) ) | a t e c h a n g e ) | p ( ? : o p ( ? : u p ( ? : h i d ( ? : d e n | i n g ) | s h o w ( ? : i n g | n ) ) | s t a t e ) | a ( ? : g e ( ? : h i d e | s h o w ) | ( ? : s t | u s ) e | i n t ) | r o ( ? : p e r t y c h a n g e | g r e s s ) | l a y ( ? : i n g ) ? ) | t ( ? : o u c h ( ? : ( ? : l e a | m o ) v e | e n ( ? : t e r | d ) | c a n c e l | s t a r t ) | r a n s i t i o n ( ? : c a n c e l | e n d | r u n ) | i m e ( ? : u p d a t e | o u t ) | e x t ) | u ( ? : s ( ? : e r p r o x i m i t y | s d r e c e i v e d ) | p ( ? : g r a d e n e e d e d | d a t e r e a d y ) | n ( ? : d e r f l o w | l o a d ) ) | f ( ? : o ( ? : r m ( ? : c h a n g e | i n p u t ) | c u s ( ? : o u t | i n ) ? ) | i ( ? : l t e r c h a n g e | n i s h ) | a i l e d ) | l ( ? : o ( ? : a d ( ? : e ( ? : d ( ? : m e t a ) ? d a t a | n d ) | s t a r t ) | s e c a p t u r e ) | e v e l c h a n g e | y ) | g ( ? : a m e p a d ( ? : ( ? : d i s ) ? c o n n e c t e d | b u t t o n ( ? : d o w n | u p ) | a x i s m o v e ) | e t ) | e ( ? : n ( ? : d ( ? : E v e n t | e d ) ? | a b l e d | t e r ) | r r o r ( ? : u p d a t e ) ? | m p t i e d | x i t ) | i ( ? : c c ( ? : c a r d l o c k e r r o r | i n f o c h a n g e ) | n ( ? : c o m i n g | v a l i d | p u t ) ) | o ( ? : ( ? : ( ? : f f | n ) l i n | b s o l e t ) e | v e r f l o w ( ? : c h a n g e d ) ? | p e n ) | S V G ( ? : ( ? : U n l | L ) o a d | R e s i z e | S c r o l l | A b o r t | E r r o r | Z o o m ) | h ( ? : e ( ? : a d p h o n e s c h a n g e | l [ d p ] ) | a s h c h a n g e | o l d i n g ) | v ( ? : o ( ? : l u m | i c ) e | e r s i o n ) c h a n g e | w ( ? : a ( ? : i t | r n ) i n g | h e e l ) | k e y ( ? : p r e s s | d o w n | u p ) | ( ? : A p p C o m m a n | L o a ) d | n o ( ? : u p d a t e | m a t c h ) | R e q u e s t | z o o m ) | s ( ? : t y l e | r c ) | b a c k g r o u n d | f o r m a c t i o n | l o w s r c | p i n g ) [ s x 0 8 ] * ? = | < [ ^ w < > ] * ( ? : [ ^ < > " ' s ] * : ) ? [ ^ w < > ] * W * ? ( ? : ( ? : a W * ? ( ? : n W * ? i W * ? m W * ? a W * ? t W * ? e | p W * ? p W * ? l W * ? e W * ? t | u W * ? d W * ? i W * ? o ) | b W * ? ( ? : i W * ? n W * ? d W * ? i W * ? n W * ? g W * ? s | a W * ? s W * ? e | o W * ? d W * ? y ) | i ? W * ? f W * ? r W * ? a W * ? m W * ? e | o W * ? b W * ? j W * ? e W * ? c W * ? t | i W * ? m W * ? a ? W * ? g W * ? e ? | e W * ? m W * ? b W * ? e W * ? d | p W * ? a W * ? r W * ? a W * ? m | v W * ? i W * ? d W * ? e W * ? o | l W * ? i W * ? n W * ? k ) [ ^ > w ] | s W * ? ( ? : c W * ? r W * ? i W * ? p W * ? t | t W * ? y W * ? l W * ? e | e W * ? t [ ^ > w ] | v W * ? g ) | m W * ? ( ? : a W * ? r W * ? q W * ? u W * ? e W * ? e | e W * ? t W * ? a [ ^ > w ] ) | f W * ? o W * ? r W * ? m ) ) "           " i d : 9 4 1 1 6 0 ,         p h a s e : 2 ,         b l o c k ,         c a p t u r e ,         t : n o n e , t : u t f 8 t o U n i c o d e , t : u r l D e c o d e U n i , t : h t m l E n t i t y D e c o d e , t : j s D e c o d e , t : c s s D e c o d e , t : r e m o v e N u l l s ,         m s g : ' N o S c r i p t   X S S   I n j e c t i o n C h e c k e r :   H T M L   I n j e c t i o n ' ,         l o g d a t a : ' M a t c h e d   D a t a :   % { T X . 0 }   f o u n d   w i t h i n   % { M A T C H E D _ V A R _ N A M E } :   % { M A T C H E D _ V A R } ' ,         t a g : ' a p p l i c a t i o n - m u l t i ' ,         t a g : ' l a n g u a g e - m u l t i ' ,         t a g : ' p l a t f o r m - m u l t i ' ,         t a g : ' a t t a c k - x s s ' ,         t a g : ' p a r a n o i a - l e v e l / 1 ' ,         t a g : ' O W A S P _ C R S ' ,         t a g : ' O W A S P _ C R S / W E B _ A T T A C K / X S S ' ,         t a g : ' W A S C T C / W A S C - 8 ' ,         t a g : ' W A S C T C / W A S C - 2 2 ' ,         t a g : ' O W A S P _ T O P _ 1 0 / A 3 ' ,         t a g : ' O W A S P _ A p p S e n s o r / I E 1 ' ,         t a g : ' C A P E C - 2 4 2 ' ,         c t l : a u d i t L o g P a r t s = + E ,         v e r : ' O W A S P _ C R S / 3 . 2 . 0 ' ,         s e v e r i t y : ' C R I T I C A L ' ,         s e t v a r : ' t x . x s s _ s c o r e = + % { t x . c r i t i c a l _ a n o m a l y _ s c o r e } ' ,         s e t v a r : ' t x . a n o m a l y _ s c o r e _ p l 1 = + % { t x . c r i t i c a l _ a n o m a l y _ s c o r e } ' " 三 条 规 则 中 ， 每 次 都 会 通 过 s e t v a r 关 键 词 ， 将 t x . a n o m a l y _ s c o r e _ p l 1 变 量 的 值 加 5 ， 即 + % { t x . c r i t i c a l _ a n o m a l y _ s c o r e } ， % { } 代 表 获 取 变 量 的 值 。 由 于 匹 配 了 三 次 ， 因 此 此 时 t x . a n o m a l y _ s c o r e _ p l 1 的 值 变 成 了 1 5 。 接 下 来 ， R E Q U E S T - 9 4 9 - B L O C K I N G - E V A L U A T I O N . c o n f 文 件 中 的 两 条 规 则 被 执 行 ， I D 分 别 为 9 4 9 0 6 0 、 9 4 9 1 1 0 ， 规 则 内 容 如 下 ： S e c R u l e   T X : P A R A N O I A _ L E V E L   " @ g e   1 "           " i d : 9 4 9 0 6 0 ,         p h a s e : 2 ,         p a s s ,         t : n o n e ,         n o l o g ,         s e t v a r : ' t x . a n o m a l y _ s c o r e = + % { t x . a n o m a l y _ s c o r e _ p l 1 } ' " S e c R u l e   T X : A N O M A L Y _ S C O R E   " @ g e   % { t x . i n b o u n d _ a n o m a l y _ s c o r e _ t h r e s h o l d } "           " i d : 9 4 9 1 1 0 ,         p h a s e : 2 ,         d e n y ,         t : n o n e ,         l o g ,         m s g : ' I n b o u n d   A n o m a l y   S c o r e   E x c e e d e d   ( T o t a l   S c o r e :   % { T X . A N O M A L Y _ S C O R E } ) ' ,         t a g : ' a p p l i c a t i o n - m u l t i ' ,         t a g : ' l a n g u a g e - m u l t i ' ,         t a g : ' p l a t f o r m - m u l t i ' ,         t a g : ' a t t a c k - g e n e r i c ' ,         s e v e r i t y : ' C R I T I C A L ' ,         s e t v a r : ' t x . i n b o u n d _ a n o m a l y _ s c o r e = % { t x . a n o m a l y _ s c o r e } ' " - - - A H N u W e P S - - - A - - [ 2 2 / M a y / 2 0 2 0 : 1 7 : 1 3 : 4 1   + 0 8 0 0 ]   1 5 9 0 1 3 8 8 2 1 2 9 . 1 6 1 4 9 2   1 1 6 . 2 5 5 . 1 3 2 . 1 2   5 5 9 5 9   1 7 2 . 2 1 . 0 . 1 5   8 0 - - - A H N u W e P S - - - B - - G E T   / ? p a r a m = % 2 2 % 3 E % 3 C s c r i p t % 3 E a l e r t ( 1 ) ; % 3 C / s c r i p t % 3 E   H T T P / 1 . 1 H o s t :   4 9 . 2 3 3 . 8 0 . 2 3 9 C o n n e c t i o n :   k e e p - a l i v e P r a g m a :   n o - c a c h e C a c h e - C o n t r o l :   n o - c a c h e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 1 . 0 . 4 0 4 4 . 1 3 8   S a f a r i / 5 3 7 . 3 6 C o o k i e :   m e m S i z e = 1 8 3 8 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 - - - A H N u W e P S - - - D - - - - - A H N u W e P S - - - E - - < h t m l > x 0 d x 0 a < h e a d > < t i t l e > 4 0 3   F o r b i d d e n < / t i t l e > < / h e a d > x 0 d x 0 a < b o d y > x 0 d x 0 a < c e n t e r > < h 1 > 4 0 3   F o r b i d d e n < / h 1 > < / c e n t e r > x 0 d x 0 a < h r > < c e n t e r > n g i n x / 1 . 1 6 . 1 < / c e n t e r > x 0 d x 0 a < / b o d y > x 0 d x 0 a - - - A H N u W e P S - - - F - - H T T P / 1 . 1   4 0 3 S e r v e r :   n g i n x / 1 . 1 6 . 1 D a t e :   F r i ,   2 2   M a y   2 0 2 0   0 9 : 1 3 : 4 1   G M T C o n t e n t - L e n g t h :   5 5 5 C o n t e n t - T y p e :   t e x t / h t m l
上 述 部 分 已 经 阐 述 ， 独 自 控 制 模 式 是 只 要 检 测 到 一 次 威 胁 就 直 接 拦 截 此 次 请 求 ， 因 此 日 志 显 示 仅 触 发 了 I D 为 9 4 1 1 0 0 的 规 则 。 除 此 之 外 ， 通 过 D E B U G 日 志 分 析 ， 两 种 模 式 下 所 进 行 的 规 则 匹 配 次 数 也 不 相 同 。 由 于 D E B U G 日 志 内 容 过 多 ， 因 此 此 处 不 进 行 日 志 内 容 展 示 ， 仅 展 示 最 终 数 据 。 当 通 过 访 问 h t t p : / / 服 务 器 I P / ? p a r a m = % 2 2 % 3 E % 3 C s c r i p t % 3 E a l e r t ( 1 ) ; % 3 C / s c r i p t % 3 E 进 行 模 拟 攻 击 时 ： 异 常 评 分 模 式 下 ， 包 含 初 始 化 配 置 类 等 相 关 规 则 ， 共 有 3 4 0 条 规 则 被 执 行 ； 独 自 控 制 模 式 下 ， 包 含 初 始 化 配 置 类 等 相 关 规 则 ， 共 有 2 8 2 条 规 则 被 执 行 。 目 前 本 人 所 使 用 的 模 式 为 独 自 控 制 模 式 。 * 本 文 作 者 ： 本 文 作 者 ： w a n g z i 2 0 4 9 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 C o n t e n t - T y p e :   t e x t / h t m l C o n n e c t i o n :   k e e p - a l i v e - - - A H N u W e P S - - - H - - M o d S e c u r i t y :   A c c e s s   d e n i e d   w i t h   c o d e   4 0 3   ( p h a s e   2 ) .   d e t e c t e d   X S S   u s i n g   l i b i n j e c t i o n .   [ f i l e   " / u s r / l o c a l / n g i n x / c o n f / m o d s e c u r i t y / r u l e s / R E Q U E S T - 9 4 1 - A P P L I C A T I O N - A T T A C K - X S S . c o n f " ]   [ l i n e   " 3 7 " ]   [ i d   " 9 4 1 1 0 0 " ]   [ r e v   " " ]   [ m s g   " X S S   A t t a c k   D e t e c t e d   v i a   l i b i n j e c t i o n " ]   [ d a t a   " M a t c h e d   D a t a :   X S S   d a t a   f o u n d   w i t h i n   A R G S : p a r a m :   " >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理