Modsecurity Acusa Falso Ataque De Xss

[redirect]

pessoal, tenho um cliente com uma loja opencart que o ip da sua conexão está sendo bloqueado pelo modsecurity por ataque xss, mas não é ataque.

alguma sugestão para mudar nas regras padrões (eu uso as regras padrões) do modsecurity ou no opencart?

[Jesmarcelo]

Qual o log do bloqueio?

[redirect]

aparece o bloco abaixo 5 vezes no email que recebo, só mudando a "unique_id".

[Mon Nov 05 23:19:10 2012] [error] [client x.x.x.x] ModSecurity: Access denied with code 406 (phase 2). Pattern match "(?:\\\\b(?:(?:type\\\\b\\\\W*?\\\\b(?:text\\\\b\\\\W*?\\\\b(?:j(?:ava)?|ecma|vb)|application\\\\b\\\\W*?\\\\bx-(?:java|vb))script|c(?:opyparentfolder|reatetextrange)|get(?:special|parent)folder|iframe\\\\b.{0,100}?\\\\bsrc)\\\\b|on(?:(?:mo(?:use(?:o(?:ver|ut)|down|move|up)|ve)| ..." at REQUEST_FILENAME. [file "/usr/local/apache/conf/modsec2.user.conf"] [line "120"] [id "950004"] [msg "Cross-site Scripting (XSS) Attack"] [data ".cookie"] [severity "CRITICAL"] [tag "WEB_ATTACK/XSS"] [hostname "www.sitedalojaopencart.com.br"] [uri "/catalog/view/javascript/jquery/ui/external/jquery.cookie.js"] [unique_id "UJhljkxIqjMAAFYnFhcAAAAC"][/CODE]

[Jesmarcelo]

Tenta comentar essa no mod_security

[redirect]

eu devo comentar a linha 120 do arquivo "modsec2.user.conf"?

[Jesmarcelo]

Não sei em que linha está isso em sua configuração, mas procura por "WEB_ATTACK/XSS" e comenta a linha.

[avonni]

redirect, se você ainda não tem instalado no servidor o CMC (ConfigServer ModSecurity Control), faça a instalação. É muito útil.

Em seguida acesse o CMC em seu WHM, selecione o domínio onde a loja de seu cliente está instalada e clique em "Modify user whitelist".

Em "mod_security rule ID list:" insira 950004 que é o ID desta regra que está sendo ativada e clique em "Save" para salvar a alteração.

Mas o que isso faz?

Isso vai desabilitar esta regra que está causando o problema unicamente para a conta deste cliente.

Pronto, problema resolvido. ;)

[redirect]

Ysaac, muito obrigado!!!!!

[lidernetwork]

Dica excelente amigo parabens Isaac tambem me salvou aqui!