ModSecurity 规则 214940 警告答案

【问题标题】：ModSecurity rule 214940 warningModSecurity 规则 214940 警告
【发布时间】：2020-04-08 10:14:27
【问题描述】：

我刚刚使用 Plesk 将我的网站迁移到了新服务器。 Plesk 默认启用防火墙 (Modsecurity)。但是查看日志，我发现这条消息重复了好几次：

ModSecurity: Warning. Operator GE matched 4 at TX:outgoing_points.
[file "/etc/apache2/modsecurity.d/rules/comodo_free/20_Outgoing_FiltersEnd.conf"] [line "38"] [id "214940"] [rev "2"] [msg "COMODO WAF: Outbound Points Exceeded|
Total Points: 4|www.domain.com|F|2"] [severity "CRITICAL"] [tag "CWAF"] [tag "FiltersEnd"] [hostname "www.domain.com"] [uri "/index.php"] [unique_id "XomsYjNLwpIAAEgBVSMAAAAA"]

有人能解释一下这是什么意思以及如何解决吗？

【问题讨论】：

标签： apache security firewall mod-security

【解决方案1】：

将 ID [id "214940"] 粘贴到 plesk 白名单中。这应该可以解决您的问题。此外，这只是一条信息性消息，但我相信该规则正在寻找恶意 iFrame“输出中可能存在恶意 iframe 标记”。此规则导致我的服务器上出现该输出。

您将要查找事件 ID 后带有字母 H 的条目（在我们的示例中为 eece5138-H--）。此条目包含检查 HTTP 请求时触发的安全规则的 ID 和描述。

【讨论】：

【解决方案2】：

我在自托管 owncloud 上遇到了同样的问题。将在日志中找到的规则 ID：modsec_audit.log 放入 plesk 域配置（Web 应用程序防火墙）。每次上传到 owncloud apache/nginx 的文件都崩溃后，不排除此规则。

【讨论】：