关于mod_security

前一段发生403在保存前台，DIY时候，都是mod_security
* G/ Q7 r( L' u8 e# l& e% b! v5 C9 B
后台保存站点广告，如果含有一定词汇，也会出现。
2 L2 d3 B4 U4 D# I. ~
3 j) n, d+ h" I3 T5 L看到这里有，黏贴学习：
9 {* l% C6 ]  `0 L
https://www.tipsandtricks-hq.com/apache-mod-security-update-how-to-fix-error-406-or-not-acceptable-issue-259
8 b) c7 W2 o" w* O1 i5 H

1. Apache Mod Security update, How to Fix ‘Error 406’ or ‘Not Acceptable’ issue
   
2. last updated: october 28, 2016
   4 @3 X7 S9 N) z
3. Few weeks ago I started having “Not Acceptable! Error 406” on one of my WordPress sites when trying to save a post or a page. I kept getting the following message when trying to save a post.
   % n) S! v% C  Q5 X' h0 y
4. 
   
5. Not Acceptable
   
6. An appropriate representation of the requested resource /wp-admin/post.php could not be found on this server
   - W3 U' r+ I3 ^$ r8 a0 H4 N
7. 
   1 K5 p+ x4 Y% @+ P
8. I tried many fixes and nothing seemed to have helped getting rid of the issue. So I decided to reinstall WordPress (How to Uninstall and Reinstall WordPress). Even the reinstall didn’t help! Later I found out that the “Not acceptable! Error 406” occurs due to Mod Security updates on the server. So if you are having a similar problem then you can try one of the following methods to fix it.
   8 e  o- L1 {) B/ l6 x
9. 
   
10. Solution 1 for Fixing 406 Error
    2 k7 b; {/ R0 c' g
11. 
    5 v, ?7 `$ g; W" D& S/ k
12. Backup your .htaccess file if you have one in the ‘wp-admin’ directory. Then make a ‘.htaccess’ file with the following content and upload it to ‘wp-admin’ directory.
    0 F% z7 g0 f6 Q! h# [: y# l% @
13. 
    2 l1 D. j  K6 G( B: i# V6 Z0 _
14. <IfModule mod_security.c>
    
15. SecFilterEngine Off
      E- Z' L% i2 P/ M' u. d! `- T  Y
16. SecFilterScanPOST Off
    
17. </IfModule>
    - K( m3 p+ ]2 m% v, F8 e
18. You can use any text editor such as Notepad to create this file.
    
19. 
    2 D1 X, \+ |3 Y9 ]$ s2 M+ i
20. You will need to upload this .htaccedss file to your server. So if you don’t know how to upload a file to your server then check this tutorial on FTP.
    
21. 
    
22. Solution 2 for Fixing 406 Error
    
23. 
    
24. This is the solution that worked for me for my WordPress site.
    1 h/ q# k' o2 Y6 a
25. 
    ! @& k5 ^! Q0 }4 p5 ]4 g) A- `5 R
26. Backup your .htaccess file if you have one in the public_html directory.
    & [. [7 q$ C9 d- j1 i6 ?7 f
27. 
    
28. Open the .htaccess file with any text editor and observe the lines between the “# BEGIN WordPress” and “# END WordPress” tags. Make sure the lines look somewhat like the following. If not then update the file with the following content and upload it to the ‘public_html’ directory.
    " W! e' D# [. W. K5 ]- s: [
29. 
    
30. # BEGIN WordPress
    
31. <IfModule mod_rewrite.c>
    
32. RewriteEngine On
    
33. RewriteBase /
    
34. RewriteCond %{REQUEST_FILENAME} !-f
    % k; F- @# D, h# F# F* e
35. RewriteCond %{REQUEST_FILENAME} !-d
    
36. RewriteRule . /index.php [L]
    2 r8 i6 T2 a" c2 B% f( \# M3 j
37. </IfModule>
    1 p% Y& J$ R/ N* C$ B. H8 D" M8 Y
38. # END WordPress
    8 v' Z. T" M2 s# u
39. Hopefully one of these solutions help fix your “Not Acceptable” error.
    5 y% G! p$ d& P% \# n
40. 
    ) h* @( |1 c$ E  \$ M3 Z, r  s! X
41. Good luck!

复制代码

2 k9 W: q* |4 b% {2 P9 t0 B( D$ `; ]


转载请保留当前帖子的链接：https://www.beimeilife.com/thread-41419-1-1.html 谢谢

http://www.bkjia.com/dedecms/362281.html
( x; n. m$ \# N0 @1 m) I: ?! Q5 W

最近论坛里很多朋友求救，说出现了这个问题，最近我也被这个问题困扰着。多谢Funkey朋友的办法，问题终于解决。

问题说明：
2 [$ j/ c# |  o. |! F" B) B
: R  `( S# J9 W后台设置页面无法保存，出现如下500错误页面：
# b8 @7 }+ F: J" L# N) \
forbidden
You don't have permission to access /dede/sys_info.php on this server.

* S( `8 a( ^% b% iAdditionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request.
/ x) G( X0 v- J$ N
0 q+ O  f# q4 H3 P$ I& N8 qApache Server at www.******.com Port 80
$ G% G) e) _$ o; K& n9 v
" h8 N. a% P: h1 p$ I问题一般出现在国外主机空间上【目前发现此问题的空间商有：Host1Plus，BlueHost，JustHost，Backy LLC】，dedecms 5.5 和 5.6 都会出现错误，可见是空间的问题，不是织梦的问题。
' j3 E2 G# b9 E
! a% l" O; ~9 B6 X原因：
经过多方核实，可以确定，大多数的国外主机在配置 Apache 的时候启用了 mod_security ，也就是开启了安全检查，如果提交的信息中包含 select , % , bin 等关键字，Apache 就会禁止，并给出 403，404，500 等错误。
% M) [" p+ R+ _3 w
9 w0 y) J" K+ {2 ]解决方法：
/ d& X$ z0 `$ _8 y. s! R: P# L) i由于这个设置属于服务器级别的配置，如果是VPS用户，需要关闭 mod_security2 的检查（mod_security2.c）；而如果是虚拟空间用户的话需要联系客服协助修改。

操作办法：
（虚拟空间用户）如果是CP面板，选择 Submit ticket——Paid hosting support，告诉客服自己使用 DEDE_CMS，请求将 mod_security 设置为 disabled 即可正常使用。
8 M" |  q  P4 X6 U+ ~4 W英语不好的朋友，可以直接复制以下语句：
引用
2 J: \; r) R- e' O' WI wanna use DEDE_CMS,So please change mod_security2.c settings to disable.

1 {0 R+ y7 S' G/ T

原文地址:http://www.bkjia.com/dedecms/362281.html

XSS 防御设置 $_config['security']['urlxssdefend'] = true;        // 自身 URL XSS 防御                                
; y+ a3 B! g' }! s- g7 q! r
3 U5 M* L# _0 U% M9 f) jCC 攻击防御

当你的站点发现被CC攻击时，你也可以在config中打开CC攻击防御,该防御有1/2/4/8四种防御方式，你除了可以配这四种外，还允许组合防御。例如：可以配成24,当配成24代表同时使用2跟4的两种防御攻击

$_config['security']['attackevasive'] = 0;                // CC 攻击防御 1|2|4|8                                

SQL 安全性防御

1. $_config['security']['querysafe']['status'] = 1;        // 是否开启SQL安全检测，可自动预防SQL注入攻击
   + T% Y- d& ~8 ~0 y$ N# j$ H4 {
2. $_config['security']['querysafe']['dfunction']['0'] = 'load_file';
   
3. $_config['security']['querysafe']['dfunction']['1'] = 'hex';
   
4. $_config['security']['querysafe']['dfunction']['2'] = 'substring';
   ! `7 `0 Z2 {( ~( M
5. $_config['security']['querysafe']['dfunction']['3'] = 'if';
   
6. $_config['security']['querysafe']['dfunction']['4'] = 'ord';
   
7. $_config['security']['querysafe']['dfunction']['5'] = 'char';
   ' A# v7 ]3 ?" j6 y* ?9 p4 J
8. $_config['security']['querysafe']['daction']['0'] = 'intooutfile';
   & N) F) T1 b- R" o( t9 W2 ~; G9 q
9. $_config['security']['querysafe']['daction']['1'] = 'intodumpfile';
   # C$ N7 \% l" v9 z
10. $_config['security']['querysafe']['daction']['2'] = 'unionselect';
    
11. $_config['security']['querysafe']['daction']['3'] = '(select';
    
12. $_config['security']['querysafe']['daction']['4'] = 'unionall';
    $ f3 t! A" s* j5 o& I+ t  X
13. $_config['security']['querysafe']['daction']['5'] = 'uniondistinct';
    
14. $_config['security']['querysafe']['dnote']['0'] = '/*';
    
15. $_config['security']['querysafe']['dnote']['1'] = '*/';
    6 |' U6 h% [! b
16. $_config['security']['querysafe']['dnote']['2'] = '#';
    
17. $_config['security']['querysafe']['dnote']['3'] = '--';
    
18. $_config['security']['querysafe']['dnote']['4'] = '"';
    + q* f3 U' g' D8 U6 M, c
19. $_config['security']['querysafe']['dlikehex'] = 1;
    ' n- z7 J! a, r9 o5 P+ o* C
20. $_config['security']['querysafe']['afullnote'] = '0';

复制代码

' Z( [$ K# h6 I! r
* w$ L1 S! e6 M


  a- x  t7 G8 U* I3 a
6 ?7 W3 j/ Y+ X5 Z# P
                     

在上面内容是关于SQL的安全检查，在配置中只需要配置$_config['security']['querysafe']['status']        = 1;就可以，1代表开启/0代表关闭

7 h( j) v$ c5 c+ j9 ]创始人的设置

创始人的设置，当您的站点在线上运营时，建议至少设置一个创始人，创始人拥有站点管理后台的最高权限。

$_config['admincp']['founder'] = '1'; // 站点创始人：拥有站点管理后台的最高权限，每个站点可以设置 1名或多名创始人                                        // 可以使用uid，也可以使用用户名；多个创始人之间请使用逗号“,”分开;                                
8 d5 F7 I1 t; k
9 u; C5 l6 ~4 B, ~- c安全问答

安全问答，可以在这里开启安全问答来限制管理员必须设置相应的安全问答，来增加该站点的管理帐号的安全性。建议开启

$_config['admincp']['forcesecques'] = 1;// 管理人员必须设置安全提问才能进入系统设置 0=否, 1=是[安全]                                

- M. \- m& _7 p. q/ D  h验证后台管理IP

验证后台管理IP,建议开启

$_config['admincp']['checkip'] = 1;        // 后台管理操作是否验证管理员的 IP, 1=是[安全], 0=否。                                        //仅在管理员无法登陆后台时设置 0。                                

后台是否允许执行相关的MySQL操作

后台是否允许执行相关的MySQL操作,建议关闭。关闭后将无法直接在后台执行相关的SQL语句

$_config['admincp']['runquery']        = 0;        // 是否允许后台运行 SQL 语句 1=是 0=否[安全]                                

# S' }1 [8 Z2 a* d" O; K1 c后台恢复数据

后台恢复数据。定期备份是一个很好的习惯，在站点运营过程中，为了安全建议关闭后台恢复数据的功能，在你的站点确实需要进行数据恢复操作时再将此开关打开

$_config['admincp']['dbimport']        = 0;                // 是否允许后台恢复论坛数据  1=是 0=否[安全]              
- \# ~( f( l1 Y7 {7 U
( K) `: H, L, T3 l/ S( g/ b
; K2 q: P7 I) i' |6 O' S


" m) G5 y/ M4 @) W- H5 A) H" n" {# Qhttp://bbs.zb7.com/discuz/dx25/safe/security/security_config.htm
0 J* C# ?+ O) o& U; e0 G                  

  t: U2 l9 L2 [) w2 S: U$ h' @  b
/ l, p# v" z% Q* z/ A

  }' m* W" _! b! n, X2 e3 A