点标签看更多好帖
开启左侧

关于mod_security

[复制链接] 2
回复
1889
查看
打印 上一主题 下一主题
楼主
跳转到指定楼层
发表于 2017-1-21 21:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。

您需要 登录 才可以下载或查看,没有帐号?注册

x
前一段发生403在保存前台,DIY时候,都是mod_security
' y+ x; ?/ J( z2 Q
+ Q: u" s+ M$ R& _- V. O& v8 W# r4 s后台保存站点广告,如果含有一定词汇,也会出现。
8 k4 Z6 l( u7 P% _- u7 J2 V
  W9 |& C  G( r1 V' ?( k' {看到这里有,黏贴学习:6 [9 ]' T6 Z/ o2 x0 [9 n5 j( c, K

8 Y, N  W+ d  ^6 Phttps://www.tipsandtricks-hq.com/apache-mod-security-update-how-to-fix-error-406-or-not-acceptable-issue-259
' R5 s- D( O- e; k% B; ~$ g  D9 O! l8 G  S- M2 o1 [, p, T4 e
  1. Apache Mod Security update, How to Fix ‘Error 406’ or ‘Not Acceptable’ issue$ v2 j5 ^4 K2 k% g0 P
  2. last updated: october 28, 2016
    3 N: S* y4 O" L
  3. Few weeks ago I started having “Not Acceptable! Error 406” on one of my WordPress sites when trying to save a post or a page. I kept getting the following message when trying to save a post.
    * J0 Z0 ~! [7 L3 b

  4. ' u" u/ n9 [$ c& P4 ]0 M" m
  5. Not Acceptable* I! D+ N) b0 ?
  6. An appropriate representation of the requested resource /wp-admin/post.php could not be found on this server
      L4 Z7 N1 m% Q, y
  7. # f2 E- V2 E/ g. G. A
  8. I tried many fixes and nothing seemed to have helped getting rid of the issue. So I decided to reinstall WordPress (How to Uninstall and Reinstall WordPress). Even the reinstall didn’t help! Later I found out that the “Not acceptable! Error 406” occurs due to Mod Security updates on the server. So if you are having a similar problem then you can try one of the following methods to fix it.8 Z: O3 Q* O( Y( E  \0 i0 p

  9. " j+ Y2 ]" y" i  R9 Y$ u. D3 W
  10. Solution 1 for Fixing 406 Error
    . B" G; \, P* {* O( B' m- I& R5 x6 ?

  11. + Z* C( W1 y& V: s( k4 l7 l( k  W2 e
  12. Backup your .htaccess file if you have one in the ‘wp-admin’ directory. Then make a ‘.htaccess’ file with the following content and upload it to ‘wp-admin’ directory.
    # W5 Q; U5 ?2 w, n9 R  _* v3 J0 p

  13. ! w0 R' R) T7 m4 y7 ]/ p! Z. e  a
  14. <IfModule mod_security.c>
    - F& ^  z& \! X
  15. SecFilterEngine Off
    8 i+ \, t- m* D0 R+ g/ ^
  16. SecFilterScanPOST Off, L/ t- r# ~: W
  17. </IfModule># m. n$ h% p$ |6 i4 }
  18. You can use any text editor such as Notepad to create this file.5 A# }* ~6 L, U  a- n( e) j! W

  19. + `1 x. j" E, |- D
  20. You will need to upload this .htaccedss file to your server. So if you don’t know how to upload a file to your server then check this tutorial on FTP.
    . L# k1 y1 z. K' a: C8 Y
  21. " ?0 W: U- F& z9 O
  22. Solution 2 for Fixing 406 Error  R3 {) A: j+ m, S! Q# K4 l. M: m, M
  23. 4 q+ B* I5 v2 b8 R' N% o/ S
  24. This is the solution that worked for me for my WordPress site.
    - ~4 p4 y0 L5 P7 T8 q
  25. ( h8 Y; d' g: Z
  26. Backup your .htaccess file if you have one in the public_html directory.. l. v% ~9 b5 _9 n9 z& |) _

  27. # b# S  i0 i, P/ m( R: i
  28. Open the .htaccess file with any text editor and observe the lines between the “# BEGIN WordPress” and “# END WordPress” tags. Make sure the lines look somewhat like the following. If not then update the file with the following content and upload it to the ‘public_html’ directory.
    4 V3 Q  v% t0 w/ ]* f6 \+ `  G

  29. ( S' }1 h% w. {3 F3 X
  30. # BEGIN WordPress5 ]& i  k8 W0 f8 v! N) _( [) I7 [$ P
  31. <IfModule mod_rewrite.c>
    + `& J. q: d$ @) k
  32. RewriteEngine On
    * a* X& m) m) w( Y4 o/ F1 R' `! o& u1 x
  33. RewriteBase /- f3 @) O% m$ C3 J
  34. RewriteCond %{REQUEST_FILENAME} !-f' v; b" \8 c5 p. o1 F0 S6 y4 F1 X
  35. RewriteCond %{REQUEST_FILENAME} !-d8 G$ s. o8 d: h1 j. a5 `4 P
  36. RewriteRule . /index.php [L]
    9 w: C) J% D/ L, y( M1 X4 W
  37. </IfModule>
    1 i6 K' ?% f0 [
  38. # END WordPress
    * A. r3 a+ ~. j/ L' \- `+ ~: e  v
  39. Hopefully one of these solutions help fix your “Not Acceptable” error.
    ! H3 s# F  q4 w; ?+ S7 g3 G
  40. ( Q& w6 ^; m$ d8 \
  41. Good luck!
复制代码
2 q. t3 {% {: Z7 e4 F, Z* t! }

) N1 ]! ^. Y! y+ |5 r4 {6 n

转载请保留当前帖子的链接:https://www.beimeilife.com/thread-41419-1-1.html 谢谢
沙发
发表于 2017-1-21 21:33 | 只看该作者
http://www.bkjia.com/dedecms/362281.html
2 x9 W' I- }9 C( H  P: j# Z& r% P* h- v. U# o# Q' o
最近论坛里很多朋友求救,说出现了这个问题,最近我也被这个问题困扰着。多谢Funkey朋友的办法,问题终于解决。
9 l% N* d1 Y) G1 N/ I! A# }% r$ v. B" N" x3 V4 [7 b0 w
问题说明:
2 \6 K1 z0 G& Q9 O. d
& u" E; ]0 J. A. U3 w* _7 q后台设置页面无法保存,出现如下500错误页面: 4 {$ W1 [7 r9 W" s  j- ~  q

; _5 @! `" j, W/ G; I& pforbidden 1 @1 f1 N* a- p7 W! O* v* J% s! Z
You don't have permission to access /dede/sys_info.php on this server. 2 J6 A6 y8 E6 |( r  C7 E7 \

. P5 r: W: A) a$ n. `Additionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request.
# V" o* p7 O! w0 f# K% ]) Z  V: w9 C2 {& e: a/ ~. d
Apache Server at www.******.com Port 80
' g. F' X' _# t2 I
& `6 u  n3 I$ E$ R问题一般出现在国外主机空间上【目前发现此问题的空间商有:Host1Plus,BlueHost,JustHost,Backy LLC】,dedecms 5.5 和 5.6 都会出现错误,可见是空间的问题,不是织梦的问题。 % Z% n& W5 T' [

% M- y3 v; R7 q; R. U' B9 q原因: / b, t+ P, Y8 E8 P
经过多方核实,可以确定,大多数的国外主机在配置 Apache 的时候启用了 mod_security ,也就是开启了安全检查,如果提交的信息中包含 select , % , bin 等关键字,Apache 就会禁止,并给出 403,404,500 等错误。
* q+ t0 Q: M1 ^/ T% S5 ~
- `$ e5 h* d) ]% ?! g解决方法: $ r. P% |2 _* i& n3 Z
由于这个设置属于服务器级别的配置,如果是VPS用户,需要关闭 mod_security2 的检查(mod_security2.c);而如果是虚拟空间用户的话需要联系客服协助修改。 " @! E' W( W+ U. [/ [( m9 v

# P" N6 J+ M; {% K+ A8 ~  F7 z9 J/ X操作办法:
2 g7 C' ^& e; W5 [* l- u(虚拟空间用户)如果是CP面板,选择 Submit ticket——Paid hosting support,告诉客服自己使用 DEDE_CMS,请求将 mod_security 设置为 disabled 即可正常使用。 . n, j" m( o* j/ ]& {
英语不好的朋友,可以直接复制以下语句:
0 p& P5 {$ K5 E9 F引用 / l7 G, Z& ^  l- |* Q6 j( Q) Q
I wanna use DEDE_CMS,So please change mod_security2.c settings to disable.

# @+ \2 f8 J; v/ B) ^% w5 }
  Y2 j3 q8 v' D" ?9 ?
原文地址:http://www.bkjia.com/dedecms/362281.html
3 `$ ^! p7 p) e% A, k. V
板凳
发表于 2017-1-22 11:46 | 只看该作者
XSS 防御设置 $_config['security']['urlxssdefend'] = true;        // 自身 URL XSS 防御                                4 m; U0 A% x+ c. k! r5 Z6 N7 ~

4 G. Q' k# d! w$ vCC 攻击防御
当你的站点发现被CC攻击时,你也可以在config中打开CC攻击防御,该防御有1/2/4/8四种防御方式,你除了可以配这四种外,还允许组合防御。例如:可以配成24,当配成24代表同时使用2跟4的两种防御攻击
$_config['security']['attackevasive'] = 0;                // CC 攻击防御 1|2|4|8                                - W( c( x6 j9 ?
* [2 U1 d7 O( v, f
SQL 安全性防御: j- [- x/ U0 r. I" s$ r8 Z
  1. $_config['security']['querysafe']['status'] = 1;        // 是否开启SQL安全检测,可自动预防SQL注入攻击& I1 m1 L5 B5 ~( m8 _1 Z& J
  2. $_config['security']['querysafe']['dfunction']['0'] = 'load_file';
    / O" J3 R. o  \- j$ w
  3. $_config['security']['querysafe']['dfunction']['1'] = 'hex';
    ; }: X* ?0 e# e% c7 {) R
  4. $_config['security']['querysafe']['dfunction']['2'] = 'substring';- [' V: h- T$ X! W) |3 b  g6 z
  5. $_config['security']['querysafe']['dfunction']['3'] = 'if';2 k2 ]6 |% z3 Q& _6 a; D" c
  6. $_config['security']['querysafe']['dfunction']['4'] = 'ord';
      p% b* n% d+ O) T/ j% t+ u
  7. $_config['security']['querysafe']['dfunction']['5'] = 'char';
    2 i. }9 r+ X, }- Z+ O3 _
  8. $_config['security']['querysafe']['daction']['0'] = 'intooutfile';
    ! z) Z% N/ F1 `+ n. ?
  9. $_config['security']['querysafe']['daction']['1'] = 'intodumpfile';# _+ ]* c! q# B+ k
  10. $_config['security']['querysafe']['daction']['2'] = 'unionselect';( E  o$ h4 e) @8 y! |
  11. $_config['security']['querysafe']['daction']['3'] = '(select';
    - E9 R1 ~' ?9 O2 p
  12. $_config['security']['querysafe']['daction']['4'] = 'unionall';3 z0 m9 U. O' D7 V. W. m
  13. $_config['security']['querysafe']['daction']['5'] = 'uniondistinct';/ w6 w* H9 M4 e1 R' N) E, u( P
  14. $_config['security']['querysafe']['dnote']['0'] = '/*';: z8 X7 |* V" H! D4 Y3 u  L& v2 a. ]
  15. $_config['security']['querysafe']['dnote']['1'] = '*/';7 \; a9 m9 L& p- t9 v
  16. $_config['security']['querysafe']['dnote']['2'] = '#';. M: [2 c: e8 J, b6 g
  17. $_config['security']['querysafe']['dnote']['3'] = '--';" [7 M+ B( J" E: U+ d6 k
  18. $_config['security']['querysafe']['dnote']['4'] = '"';8 P( r7 K! E: c& j1 n! g! @5 m
  19. $_config['security']['querysafe']['dlikehex'] = 1;
    2 D( s5 H4 k4 V! A
  20. $_config['security']['querysafe']['afullnote'] = '0';
复制代码
- X! _* \# M; g7 @. }

" b, K8 Z2 o, I
* [9 B6 k' R* a: r# t; o

/ F- d0 O9 Y6 N- S# _! H2 f( ]

" A) B) T/ w/ q" t6 O8 O
" E# o3 `  a  v7 Y) y( R

, x3 k* [% w( I! u; q6 f( A                      4 }+ A! U) u' @" X
在上面内容是关于SQL的安全检查,在配置中只需要配置$_config['security']['querysafe']['status']        = 1;就可以,1代表开启/0代表关闭

! [0 m. u5 C# Y5 [- }创始人的设置
创始人的设置,当您的站点在线上运营时,建议至少设置一个创始人,创始人拥有站点管理后台的最高权限。
$_config['admincp']['founder'] = '1'; // 站点创始人:拥有站点管理后台的最高权限,每个站点可以设置 1名或多名创始人                                        // 可以使用uid,也可以使用用户名;多个创始人之间请使用逗号“,”分开;                                
- \6 [. R: x. b$ z  T$ M/ D0 a; a8 `# R
安全问答
安全问答,可以在这里开启安全问答来限制管理员必须设置相应的安全问答,来增加该站点的管理帐号的安全性。建议开启
$_config['admincp']['forcesecques'] = 1;// 管理人员必须设置安全提问才能进入系统设置 0=否, 1=是[安全]                                
/ v8 M3 b4 |7 X. S& J! F0 q  z) k! c* o. f5 F1 [" L! s
验证后台管理IP
验证后台管理IP,建议开启
$_config['admincp']['checkip'] = 1;        // 后台管理操作是否验证管理员的 IP, 1=是[安全], 0=否。                                        //仅在管理员无法登陆后台时设置 0。                                ; l) o. q- _  l) _+ H4 K0 o- W

4 P) X  u: @8 F( J7 y后台是否允许执行相关的MySQL操作
后台是否允许执行相关的MySQL操作,建议关闭。关闭后将无法直接在后台执行相关的SQL语句
$_config['admincp']['runquery']        = 0;        // 是否允许后台运行 SQL 语句 1=是 0=否[安全]                                2 G( i* z1 g' S$ O- a$ w

' D$ Y! m0 }# Y) O1 e0 q后台恢复数据
后台恢复数据。定期备份是一个很好的习惯,在站点运营过程中,为了安全建议关闭后台恢复数据的功能,在你的站点确实需要进行数据恢复操作时再将此开关打开
$_config['admincp']['dbimport']        = 0;                // 是否允许后台恢复论坛数据  1=是 0=否[安全]              
+ x. e  Q3 \0 |9 t( f8 O3 p& ?0 t' |
! B" S; T4 T/ B) x3 c, K% q" ^( H

4 Y; \) X7 c$ T: R5 z

/ E+ k. O$ d" ?: v! X
" Y$ A; N4 Z" L3 s. J9 s

% ?" J4 N+ @* [& lhttp://bbs.zb7.com/discuz/dx25/safe/security/security_config.htm
( d3 D$ @0 n* |! P1 T                  9 K3 g* y* m8 [+ F& Z, ~

. j$ U: l0 Q6 H! T  _
, t$ H7 z; I1 q  W; a( o4 s% \
6 e; W/ w2 {- Q% c. D9 [5 U1 D" g
. T! W8 q2 d# ]  X4 _

使用高级回帖 (可批量传图、插入视频等)快速回复

您需要登录后才可以回帖 登录 | 注册

本版积分规则   Ctrl + Enter 快速发布  

发帖时请遵守我国法律,网站会将有关你发帖内容、时间以及发帖IP地址等记录保留,只要接到合法请求,即会将信息提供给有关政府机构。
快速回复 返回顶部 返回列表