मैंने हाल ही में mod_security से त्रुटिपूर्ण त्रुटि संदेशों द्वारा फ़्रीक्वेंट किया है। इसका फ़िल्टर सेट पुराने PHP कारनामों को कवर करता है, और मुझे अपना सामान फिर से लिखना होगा क्योंकि Wordpress & Co में कई साल पहले बग थे।
क्या ऐसा किसी और के साथ भी होता है?
अपाचे mod_security ब्लॉक संभवतः खतरनाक HTTP अनुरोधों को अनुप्रयोगों (PHP विशेष रूप से) तक पहुँचने से पहले। यह विभिन्न फिल्टर सेट का उपयोग करता है, ज्यादातर रेगेक्स आधारित है।
इसलिए मेरे पास एक अच्छा साझा होस्टिंग प्रदाता है, तकनीकी रूप से उपयुक्त और सामान है। लेकिन यह मुझे बुरा लगा:
अभी पिछले हफ्ते मुझे &src=अपने एक ऐप में एक पैरामीटर नाम बदलना पड़ा क्योंकि mod_security उस के साथ किसी भी अनुरोध को ब्लॉक करता है। मैंने इसके विवरण को नहीं देखा, लेकिन यह फ़िल्टर नियम किसी अन्य ऐप की शोषण क्षमता को रोक रहा था जिसका मैं उपयोग नहीं करता हूं और शायद इसके बारे में कभी नहीं सुना था। फिर भी मुझे अपने कोड को फिर से लिखना पड़ा (नाम बदलने का पैरामीटर अक्सर ट्रिक mod_security को सहन करता है) जिसका कुछ भी नहीं करना था या उसके साथ आम नहीं था!
और आज, एक मूर्खतापूर्ण रेगेक्स ब्लॉक सबमिशन बनाता है, क्योंकि मैं php नमूना कोड प्रस्तुत करना चाहता था। यह देखते हुए, यह सरल सामान है कि mod_security से बचाने के लिए है। लेकिन मुझे विश्वास नहीं है कि mod_security गंभीर रूप से बाधित कोड का पता लगा सकता है, और बस स्पष्ट रूप से बंद हो जाता है (और इस मामले में पूरी तरह से तुच्छ) php स्निपेट्स।
मूल रूप से मैं mod_security द्वारा दंडित हो रहा हूं क्योंकि अन्य लोगों ने बग-प्रोन एप्लिकेशन जारी किए हैं। (यह कहते हुए कि मेरे ऐप्स अल्ट्रा सिक्योर नहीं हैं - मैं बहुत सिक्योरिटी वरी हूं, लेकिन कोई हाइपरबोलिक दावा नहीं करता।)
मैंने पहले ही अपने प्रोवाइडर को इसे वैसे भी डिसेबल करने के लिए कहा है, लाभ बहुत कम आईयूएसओ और मेरे ऐप के लिए हैं।
तुम क्या सोचते हो? क्या WP_ होस्टिंग के बाहर mod_security बहुत मायने रखती है? या यह वास्तव में लंबे समय से पारित सुरक्षा कीड़े के ब्लैकलिस्ट का एक गुच्छा है? इसके कौन से नियम वास्तव में सहायक हैं? क्या कोई आवेदन स्तर समकक्ष है?
<?php doBadStuff(); ?>उस फ़ंक्शन को नहीं चलाएगा। (जब तक कि आपevalनिश्चित रूप से उपयोग न करें जो वैसे भी बुराई है।)