atomic mod_security rule 60118 evt 60119

[Mikey]

Voor diegene die hier gebruik van maken, en ondervinden dat de rule niet te disbablen is via de webinterface

asl -dr 60118
asl -dr 60119

nano -w /etc/httpd/modsecurity.d/10_asl_rules.conf

zoeken op 340037 en twee hekjes # ervoor zetten

/etc/init.d/httpd restart

fixed

[Ber|Art]

Thx! Mike dit werkt idd, erg vevelend dat het niet vanuit de interface kan hoppelijk worden ze snal wakker in de USA

[Mikey]

Ik heb overigens het idee als ik de servers nu bekijk dat het disablen van de rules door middel van een cronjob afgehandeld wordt, en er dus vertraging in zit met het klikken en het daadwerkelijk disablen... Maar dit is een wilde gok.

[Ber|Art]

Er zit zeker vertraging in, maar als je gelijk asl -s -f doet gaat het wel gelijk goed! zat 2-3 minuten tussen. Op sommige servers ging het vanuit de interface al goed. Zelf het ASL forum is niet te bereiken momentheel...

[Domenico]

Hahaaha niet leuk al deze meldingen!

Pattern match "(?:cd |\;|php |echo |perl |killall |python |rpm |yum |apt-get |emerge |lynx |links |mkdir |elinks |wget |lwp-(?:download|request|mirror|rget) |id|uname |cvs |svn |(?:s|r)(?:cp|sh) |net(?:stat|cat) |rexec |smbclient |t?ftp |ncftp |curl |telnet |g?cc |cp ..." at REQUEST_URI. [file "/usr/local/apache/conf/modsec_rules/10_asl_rules.conf"] [line "330"] [id "340037"] [rev "3"] [msg "Atomicorp.com WAF Rules: Generic command injection"] [severity "CRITICAL"]
[14/Jan/2010:16:38:50 +0100] S086itW9AjkAAEEsEHoAAAAA 93.125.178.188 64882 213.189.2.57 80
--140afa58-B--
GET /images/ticon-borea.gif HTTP/1.1
Host: www.*********.nl
Connection: keep-alive
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US) AppleWebKit/532.5 (KHTML, like Gecko) Chrome/4.0.249.64 Safari/532.5
Referer: http://www.***************.nl/
Cache-Control: max-age=0
Accept: */*
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3

--140afa58-F--
HTTP/1.1 403 Forbidden
Content-Length: 488
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=iso-8859-1

--140afa58-H--
Message: Access denied with code 403 (phase 2). Pattern match "(?:cd |\;|php |echo |perl |killall |python |rpm |yum |apt-get |emerge |lynx |links |mkdir |elinks |wget |lwp-(?:download|request|mirror|rget) |id|uname |cvs |svn |(?:s|r)(?:cp|sh) |net(?:stat|cat) |rexec |smbclient |t?ftp |ncftp |curl |telnet |g?cc |cp ..." at REQUEST_URI. [file "/usr/local/apache/conf/modsec_rules/10_asl_rules.conf"] [line "330"] [id "340037"] [rev "3"] [msg "Atomicorp.com WAF Rules: Generic command injection"] [severity "CRITICAL"]
Action: Intercepted (phase 2)
Stopwatch: 1263483530010454 591782 (295539 590024 -)
Producer: ModSecurity for Apache/2.5.9 (http://www.modsecurity.org/).
Server: Apache/2.2.14 (Unix) mod_ssl/2.2.14 OpenSSL/0.9.8e-fips-rhel5 mod_bwlimited/1.4