关于mod_security

前一段发生403在保存前台，DIY时候，都是mod_security
% b, U- V7 ]( k- Z+ k, B  n+ W5 L6 T
后台保存站点广告，如果含有一定词汇，也会出现。
+ \, V( x4 ~: k% @0 z
& |% q+ d) W8 {看到这里有，黏贴学习：

https://www.tipsandtricks-hq.com/apache-mod-security-update-how-to-fix-error-406-or-not-acceptable-issue-259

8 S3 g4 H/ U! t6 S1 g' D: ?

1. Apache Mod Security update, How to Fix ‘Error 406’ or ‘Not Acceptable’ issue
   
2. last updated: october 28, 2016
   - x4 o; M; q) i5 X
3. Few weeks ago I started having “Not Acceptable! Error 406” on one of my WordPress sites when trying to save a post or a page. I kept getting the following message when trying to save a post.
   
4. 
   
5. Not Acceptable
   
6. An appropriate representation of the requested resource /wp-admin/post.php could not be found on this server
   
7. 
   
8. I tried many fixes and nothing seemed to have helped getting rid of the issue. So I decided to reinstall WordPress (How to Uninstall and Reinstall WordPress). Even the reinstall didn’t help! Later I found out that the “Not acceptable! Error 406” occurs due to Mod Security updates on the server. So if you are having a similar problem then you can try one of the following methods to fix it.
   
9. 
   
10. Solution 1 for Fixing 406 Error
    0 |7 K; J3 o! {# x4 Y
11. 
    * Y1 F  k/ F2 S
12. Backup your .htaccess file if you have one in the ‘wp-admin’ directory. Then make a ‘.htaccess’ file with the following content and upload it to ‘wp-admin’ directory.
    4 v- \( u3 U# e4 T& b
13. 
    
14. <IfModule mod_security.c>
    1 h! q3 ~1 O! M2 F' W
15. SecFilterEngine Off
    ; \! \" m" B+ m( D" M
16. SecFilterScanPOST Off
    - m( ~6 i. w- P- `4 G
17. </IfModule>
    
18. You can use any text editor such as Notepad to create this file.
    
19. 
    
20. You will need to upload this .htaccedss file to your server. So if you don’t know how to upload a file to your server then check this tutorial on FTP.
    9 W) `8 y# K4 D4 [
21. 
    " V) n! p0 ?* G: ~; C, S) W
22. Solution 2 for Fixing 406 Error
    $ `1 T/ k$ {5 K5 I- H& W  }8 |# ]
23. 
    7 I. A: B. v  ?3 E* Y& r% c
24. This is the solution that worked for me for my WordPress site.
    
25. 
    
26. Backup your .htaccess file if you have one in the public_html directory.
    4 v+ I" F6 W& x0 i( X
27. 
    
28. Open the .htaccess file with any text editor and observe the lines between the “# BEGIN WordPress” and “# END WordPress” tags. Make sure the lines look somewhat like the following. If not then update the file with the following content and upload it to the ‘public_html’ directory.
    
29. 
    8 m# v6 t! M: n- a; h
30. # BEGIN WordPress
    
31. <IfModule mod_rewrite.c>
    
32. RewriteEngine On
    
33. RewriteBase /
    
34. RewriteCond %{REQUEST_FILENAME} !-f
    " S9 [! `" _6 ]; v
35. RewriteCond %{REQUEST_FILENAME} !-d
    + s2 D7 u- v2 `4 H) ~! q
36. RewriteRule . /index.php [L]
    
37. </IfModule>
    
38. # END WordPress
    ! F( i0 T9 Y& R' f2 t. ]& I
39. Hopefully one of these solutions help fix your “Not Acceptable” error.
    
40. 
    
41. Good luck!

复制代码

) t- X& o$ O, X3 R! N& i

转载请保留当前帖子的链接：https://www.beimeilife.com/thread-41419-1-1.html 谢谢

http://www.bkjia.com/dedecms/362281.html

最近论坛里很多朋友求救，说出现了这个问题，最近我也被这个问题困扰着。多谢Funkey朋友的办法，问题终于解决。

问题说明：

后台设置页面无法保存，出现如下500错误页面：
" \+ Y( k$ t: m5 [, H1 o) Y
* F5 ]0 e3 d  w% g: r3 hforbidden
You don't have permission to access /dede/sys_info.php on this server.
% M4 y9 C! T& `. X, J- l
5 W7 V" i) o' c7 {8 g+ hAdditionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request.

Apache Server at www.******.com Port 80

  ]1 `8 T, ]) E6 D问题一般出现在国外主机空间上【目前发现此问题的空间商有：Host1Plus，BlueHost，JustHost，Backy LLC】，dedecms 5.5 和 5.6 都会出现错误，可见是空间的问题，不是织梦的问题。
6 Y5 d$ H0 ~1 N* y+ H4 N
2 X1 ^% `. M3 l; u  D' x原因：
: b( L/ s/ p6 ?' H3 l) w经过多方核实，可以确定，大多数的国外主机在配置 Apache 的时候启用了 mod_security ，也就是开启了安全检查，如果提交的信息中包含 select , % , bin 等关键字，Apache 就会禁止，并给出 403，404，500 等错误。
% q6 [. J, ]* h& B& K; v  O7 F8 r
. O# f3 N* B* o  m$ T) {. T/ @解决方法：
4 t$ U! b' [! P9 R5 C% _4 i由于这个设置属于服务器级别的配置，如果是VPS用户，需要关闭 mod_security2 的检查（mod_security2.c）；而如果是虚拟空间用户的话需要联系客服协助修改。
# Z, H/ l$ B; P" N. y1 e
% I3 P5 n" _" L$ \9 \5 p7 \操作办法：
（虚拟空间用户）如果是CP面板，选择 Submit ticket——Paid hosting support，告诉客服自己使用 DEDE_CMS，请求将 mod_security 设置为 disabled 即可正常使用。
8 M# p8 o2 m0 t& {英语不好的朋友，可以直接复制以下语句：
引用
2 ~: P1 \; d8 `/ ^5 a5 vI wanna use DEDE_CMS,So please change mod_security2.c settings to disable.

9 G  [2 V8 N, E7 d, D

原文地址:http://www.bkjia.com/dedecms/362281.html

& A2 _  H" G/ x# k; D

XSS 防御设置 $_config['security']['urlxssdefend'] = true;        // 自身 URL XSS 防御                                
. i9 H& O5 t6 h" D4 ?' x! O9 P5 J
! Z4 b! g5 \0 Z6 F" }* k5 ~8 ~CC 攻击防御

当你的站点发现被CC攻击时，你也可以在config中打开CC攻击防御,该防御有1/2/4/8四种防御方式，你除了可以配这四种外，还允许组合防御。例如：可以配成24,当配成24代表同时使用2跟4的两种防御攻击

$_config['security']['attackevasive'] = 0;                // CC 攻击防御 1|2|4|8                                
" C) N! O. k) o6 T! Y) E1 ^3 y
SQL 安全性防御

1. $_config['security']['querysafe']['status'] = 1;        // 是否开启SQL安全检测，可自动预防SQL注入攻击
   8 f" ?) B7 U# @; Q- O. c
2. $_config['security']['querysafe']['dfunction']['0'] = 'load_file';
   . a! R" q% D8 S5 ?- N) e
3. $_config['security']['querysafe']['dfunction']['1'] = 'hex';
   
4. $_config['security']['querysafe']['dfunction']['2'] = 'substring';
   
5. $_config['security']['querysafe']['dfunction']['3'] = 'if';
   
6. $_config['security']['querysafe']['dfunction']['4'] = 'ord';
   : u. N* b# \+ p2 l' w. Y9 w
7. $_config['security']['querysafe']['dfunction']['5'] = 'char';
   
8. $_config['security']['querysafe']['daction']['0'] = 'intooutfile';
   5 ~& X4 a2 Y9 {8 Z& _  j" A5 y
9. $_config['security']['querysafe']['daction']['1'] = 'intodumpfile';
   
10. $_config['security']['querysafe']['daction']['2'] = 'unionselect';
    
11. $_config['security']['querysafe']['daction']['3'] = '(select';
    " l1 Z" ~( L8 `. [
12. $_config['security']['querysafe']['daction']['4'] = 'unionall';
    3 |. ?7 J7 `) |8 w) S) q+ T
13. $_config['security']['querysafe']['daction']['5'] = 'uniondistinct';
    
14. $_config['security']['querysafe']['dnote']['0'] = '/*';
    
15. $_config['security']['querysafe']['dnote']['1'] = '*/';
    4 J. m2 S& C2 b# n, X
16. $_config['security']['querysafe']['dnote']['2'] = '#';
    * t+ d& T6 J$ g$ o
17. $_config['security']['querysafe']['dnote']['3'] = '--';
    
18. $_config['security']['querysafe']['dnote']['4'] = '"';
    
19. $_config['security']['querysafe']['dlikehex'] = 1;
    
20. $_config['security']['querysafe']['afullnote'] = '0';

复制代码

1 G4 F3 J  X4 d2 l, M5 U: [
! Q# r1 d( N- ]$ `$ P2 B6 X$ h
4 ~' H0 g# ]" y$ q* w
6 a1 Z+ L1 I: v7 p

6 H0 G. ^' D) _' i/ m
                     

在上面内容是关于SQL的安全检查，在配置中只需要配置$_config['security']['querysafe']['status']        = 1;就可以，1代表开启/0代表关闭

+ C% `! o+ J. F0 j创始人的设置

创始人的设置，当您的站点在线上运营时，建议至少设置一个创始人，创始人拥有站点管理后台的最高权限。

$_config['admincp']['founder'] = '1'; // 站点创始人：拥有站点管理后台的最高权限，每个站点可以设置 1名或多名创始人                                        // 可以使用uid，也可以使用用户名；多个创始人之间请使用逗号“,”分开;                                

. ~( K) V; x9 o0 M( C7 z安全问答

安全问答，可以在这里开启安全问答来限制管理员必须设置相应的安全问答，来增加该站点的管理帐号的安全性。建议开启

$_config['admincp']['forcesecques'] = 1;// 管理人员必须设置安全提问才能进入系统设置 0=否, 1=是[安全]                                
/ o5 n, I/ c9 g, \& F# d; J' w- {
验证后台管理IP

验证后台管理IP,建议开启

$_config['admincp']['checkip'] = 1;        // 后台管理操作是否验证管理员的 IP, 1=是[安全], 0=否。                                        //仅在管理员无法登陆后台时设置 0。                                
$ I2 L. H3 V. _) v2 @6 c
: M3 ]! C9 x# ~# Z5 a% r2 H. c后台是否允许执行相关的MySQL操作

后台是否允许执行相关的MySQL操作,建议关闭。关闭后将无法直接在后台执行相关的SQL语句

$_config['admincp']['runquery']        = 0;        // 是否允许后台运行 SQL 语句 1=是 0=否[安全]                                

后台恢复数据

后台恢复数据。定期备份是一个很好的习惯，在站点运营过程中，为了安全建议关闭后台恢复数据的功能，在你的站点确实需要进行数据恢复操作时再将此开关打开

$_config['admincp']['dbimport']        = 0;                // 是否允许后台恢复论坛数据  1=是 0=否[安全]              
' A1 N' _" J% K0 I) S; N



, c; I; [9 X0 u1 y3 A+ H
http://bbs.zb7.com/discuz/dx25/safe/security/security_config.htm
                  




6 [' j6 @9 M7 ^! c& V