核心OWASP ModSecurity - 允许JSON

Question

我已经安装ModSecurity和核心OWASP规则集ver.2.2.5几个月了，但网站上的JSON端点最近停止了响应，并且Apache日志获取了以下内容：

[星期二07月21 10时41分12秒2015] [错误] [客户端194.54.11.146]的ModSecurity： 警告。 “streq％{SESSION.IP_HASH}”与“TX：ip_hash” 必需匹配。 [文件 “/etc/modsecurity/activated_rules/modsecurity_crs_16_session_hijacking.conf”] [line“35”] [id“981059”] [msg“Warning - Sticky SessionID Data Changed - IP Address Mismatch。] [hostname”* ***********“] [URI ”/ API /活动/ d3c735cb-0773-11e4-98bd-02f651afdab5“] [UNIQUE_ID ”Va4hyKwfKiYAAAYSLigAAAAJ“]

[星期二10年7月21日： 2015年11月21日] [错误] [客户端194.54.11.146] ModSecurity： 警告。 “streq％{SESSION.UA_HASH}”匹配“TX：ua_hash” 必需。 [file “/etc/modsecurity/activated_rules/modsecurity_crs_16_session_hijacking.conf”] [line“36”] [id“981060”] [msg“Warning - Sticky SessionID Data Changed - User-Agent Mismatch。] [hostname” ************“] [URI ”/ API /活动/ d3c735cb-0773-11e4-98bd-02f651afdab5“] [UNIQUE_ID ”Va4hyKwfKiYAAAYSLigAAAAJ“]

[星期二10年7月21日：2015年：41：12] [错误] [客户端194.54.11.146] ModSecurity： 警告。运营商EQ在TX：sticky_session_anomaly匹配2。 [file “/etc/modsecurity/activated_rules/modsecurity_crs_16_session_hijacking.conf”] [line“37”] [id“981061”] [msg“可能会话劫持 - IP 地址和用户代理不匹配。”] [hostname“ ************“] [URI ”/ API /活动/ d3c735cb-0773-11e4-98bd-02f651afdab5“] [UNIQUE_ID ”Va4hyKwfKiYAAAYSLigAAAAJ“]

[星期二10年7月21日：2015年：41：12] [错误] [客户端194.54.11.146] ModSecurity： 警告。要求“rx ^％{tx.allowed_request_content_type} $”与 “TX：0”匹配。 [文件 “/etc/modsecurity/activated_rules/modsecurity_crs_30_http_policy.conf”] [line“64”] [id“960010”] [msg“请求内容类型不被 策略允许”] [data“application/json” ] [标签“WASCTC/WASC-20”] [标签 “OWASP_TOP_10/A1”] [标签“OWASP_AppSensor/EE2”] [标签“PCI/12.1”] [标签 “POLICY/ENCODING_NOT_ALLOWED”] [ ] [主机名 “************”] [URI “/ API /活动/ d3c735cb-0773-11e4-98bd-02f651afdab5”] [UNIQUE_ID “Va4hyKwfKiYAAAYSLigAAAAJ”]

我是新来的mod_security和OWASP规则（我基本上遵循指南here），但据我所知，规则是得分，如果一个请求通过一个门槛，它是nuks。我认为这是我在这里看到的。

最后一个是关心我的问题 - “应用程序/ json”当然是允许的。通过观察/etc/modsecurity/modsecurity_crs_10_setup.conf，我看到：

我的问题是： 我能不能添加应用程序/ JSON在这里做出错误消失？ 2.这是做到这一点的正确方法吗？

Answer 1

是的，你可以，所以它读取这样的：

setvar:'tx.allowed_request_content_type=application/x-www-form-urlencoded|multipart/form-data|text/xml|application/xml|application/x-amf|application/json' 

是的，这是这样做的正确方法。