Blacky
22/05/09, 22:52
Er worden ip's van bezoekers geblokkeerd op een server.
Dat komt door de pas geactiveerde mod_security op de cpanel server van een ander topic met een standaard conf.
Maarja expressies... pffff.... :)
Dit wordt er aangeroepen, is van een joomla site:
xxxx/public_html/components/com_zoom/etc/zoom.css
Bezoekers ip's worden geblokkeerd als die zoom.css opgeroepen wordt, als ik het goed begrijp omdat er iets uit een /etc/ directory wordt opgeroepen.
Dit is uit de modsecurity config.
SecRule REQUEST_FILENAME|ARGS|ARGS_NAMES|REQUEST_HEADERS|X ML:/* "@pm .www_acl .htpasswd .htaccess boot.ini httpd.conf /etc/ .htgroup global.asa .wwwacl" \
"phase:2,t:none,t:urlDecodeUni,t:htmlEntityDecode,t :lowercase,pass,nolog,skip:1"
SecAction phase:2,pass,nolog,skipAfter:959005
SecRule REQUEST_FILENAME|ARGS|ARGS_NAMES "(?:\b(?:\.(?:ht(?:access|passwd|group)|www_?acl)|g lobal\.asa|httpd\.conf|boot\.ini)\b|\/etc\/)" \
"phase:2,capture,t:none,t:htmlEntityDecode,t:lowerc ase,ctl:auditLogParts=+E,deny,log,auditlog,status: 501,msg:'Remote File Access Attempt',id:'950005',tag:'WEB_ATTACK/FILE_INJECTION',logdata:'%{TX.0}',severity:'2'"
SecRule REQUEST_HEADERS|XML:/* "(?:\b(?:\.(?:ht(?:access|passwd|group)|www_?acl)|g lobal\.asa|httpd\.conf|boot\.ini)\b|\/etc\/)" \
"phase:2,capture,t:none,t:urlDecodeUni,t:htmlEntity Decode,t:lowercase,ctl:auditLogParts=+E,deny,log,a uditlog,status:501,msg:'Remote File Access
Kan ik hier nu gewoon op alle 3 de plaatsen de /etc/ en /etc\ uit halen en bijv. de b|/ laten staan, of moet hiermee toch anders te werk worden gegaan zodat men dat wel gewoon mag aanroepen?
Dat komt door de pas geactiveerde mod_security op de cpanel server van een ander topic met een standaard conf.
Maarja expressies... pffff.... :)
Dit wordt er aangeroepen, is van een joomla site:
xxxx/public_html/components/com_zoom/etc/zoom.css
Bezoekers ip's worden geblokkeerd als die zoom.css opgeroepen wordt, als ik het goed begrijp omdat er iets uit een /etc/ directory wordt opgeroepen.
Dit is uit de modsecurity config.
SecRule REQUEST_FILENAME|ARGS|ARGS_NAMES|REQUEST_HEADERS|X ML:/* "@pm .www_acl .htpasswd .htaccess boot.ini httpd.conf /etc/ .htgroup global.asa .wwwacl" \
"phase:2,t:none,t:urlDecodeUni,t:htmlEntityDecode,t :lowercase,pass,nolog,skip:1"
SecAction phase:2,pass,nolog,skipAfter:959005
SecRule REQUEST_FILENAME|ARGS|ARGS_NAMES "(?:\b(?:\.(?:ht(?:access|passwd|group)|www_?acl)|g lobal\.asa|httpd\.conf|boot\.ini)\b|\/etc\/)" \
"phase:2,capture,t:none,t:htmlEntityDecode,t:lowerc ase,ctl:auditLogParts=+E,deny,log,auditlog,status: 501,msg:'Remote File Access Attempt',id:'950005',tag:'WEB_ATTACK/FILE_INJECTION',logdata:'%{TX.0}',severity:'2'"
SecRule REQUEST_HEADERS|XML:/* "(?:\b(?:\.(?:ht(?:access|passwd|group)|www_?acl)|g lobal\.asa|httpd\.conf|boot\.ini)\b|\/etc\/)" \
"phase:2,capture,t:none,t:urlDecodeUni,t:htmlEntity Decode,t:lowercase,ctl:auditLogParts=+E,deny,log,a uditlog,status:501,msg:'Remote File Access
Kan ik hier nu gewoon op alle 3 de plaatsen de /etc/ en /etc\ uit halen en bijv. de b|/ laten staan, of moet hiermee toch anders te werk worden gegaan zodat men dat wel gewoon mag aanroepen?