[quietscheentchen]

Hey, 
ich schalte mich hier mal ein, weil ich genau das gleiche Problem in meinen Forum habe.
Was stelle ich denn bei mod_ssecurity ein? Und wie würden die Einstellungen aussehen? Weil ich kann nichtmal sagen, ob mein Hoster die hat, weil ich nicht weiß, wie die aussehen sollen


LG

[Jockl]

Ich gehe mal nicht davon aus, dass du einen eigenen Server betreibst. Deshalb wäre es einfacher, wenn Du Dich mit dem Stichwort "mod_security aktivieren" einfach an Deinen Hoster wendest.....

[StefanT]

Ich gehe mal nicht davon aus, dass du einen eigenen Server betreibst. Deshalb wäre es einfacher, wenn Du Dich mit dem Stichwort "mod_security aktivieren" einfach an Deinen Hoster wendest.....

Ich glaube, du meinst deaktivieren. Aktiv ist es ja bereits und sorgt für den Fehler.

[Jockl]

Sorry 

[sani]

Also, ich poste nun mal die Lösung für alle, die beim Anbieter Wint.Global sind (das Problem wurde in einem anderen Forum auch geschildert und ich hatte Lady damals den Hoster empfohlen und mich dann im Zuge einer Anfrage von jemand anderem damit beschäftigt

Disclaimer: Das Ganze sorgt eben dafür, dass bestimmte Regeln der Web Application Firewall ausgehebelt werden, was unter Umständen zu einem Sicherheitsrisiko führen kann, weswegen ich keine Gewähr dafür übernehme oder ähnliches. Ich empfehle auf keinen Fall die Firewall ganz auszuschalten sondern das wie hier erklärt via Ausnahmeregelung zu lösen.

Man nehme:
Sein Plesk (aka Webpanel) logge sich dort ein, gehe auf sein Forum und rufe den Error hervor. Anschließend geht ihr auf "Protokolle" bei der Subdomain oder Domain des betroffenen Forums.

Code:

https://i.gyazo.com/cac5c59374caa1759a775759903cd3a7.png

(es kann sein, dass das bei euch an einer anderen Stelle in der Liste ist)

Dort (bei dem Protokoll) findet ihr dann eine Fehlermeldung dieser Art:

Code:

[Sun Jul 22 21:35:15.605719 2018] [:error] [pid 4578] [client zensiertvonsani] [client zensiertvonsani] ModSecurity: Access denied with code 403 (phase 2). Match of "rx ((?:submit(?:\\\\+| )?(request)?(?:\\\\+| )?>+|<<(?:\\\\+| )remove|(?:sign ?in|log ?(?:in|out)|next|modifier|envoyer|add|continue|weiter|account|results|select)?(?:\\\\+| )?>+)$|^< ?\\\\??(?: |\\\\+)?xml|^<samlp|^>> ?$)" against "ARGS:profile_fields[fid1]" required. [file "/etc/apache2/modsecurity.d/rules/tortix/modsec/50_plesk_basic_asl_rules.conf"] [line "258"] [id "350147"] [rev "143"] [msg "Protected by Atomicorp.com Basic Non-Realtime WAF Rules: Potentially Untrusted Web Content Detected"] [data ""] [severity "CRITICAL"] [hostname "zensiertvonsani"] [uri "/member.php"] [unique_id "W1Tccz5sIIsAABHiXpUAAAAE"], referer: zensiertvonsani/member.php

Es kommt bei der Fehlermeldung auf den Part

[msg "Protected by Atomicorp.com Basic Non-Realtime WAF Rules: Potentially Untrusted Web Content Detected"]

an. Habt ihr diesen nicht, ist das hier nicht eure Lösung/euer Fehler.

Euch interessiert hierbei nur

against "ARGS:profile_fields[fid1]" required. [file "/etc/apache2/modsecurity.d/rules/tortix/modsec/50_plesk_basic_asl_rules.conf"] [line "258"] [id "350147"] [rev "143"

Genauer gesagt

[id "350147"]

diese Nummer kopiert ihr euch, geht dann wieder bei der Domain auf "Web Application Firewall"

Code:

https://i.gyazo.com/5cead19499068fb1061229ce06df2346.png

und stellt das Ganze auf "Nur Erkennung" und fügt oben die ID ein, die bei euch steht und für Probleme sorgt.

Code:

https://i.gyazo.com/5fe22b4c5fa98cfa12cecc296aae8cd1.png

Das Ganze dauert dann, wie bei Charlie, vermutlich ca. eine Stunde bis es aktiv ist, spielt während dieser Zeit einfach nicht weiter an der Einstellung herum.

Es kann sein, dass es danach weitere Regel-IDs gibt, die für diesen Fehler sorgen, ihr könnt die Liste der Ids aber beliebig erweitern.

Bei anderen Hostern die diesen Fehler haben gibt es im Webpanel vermutlich auch diese oder ähnliche Einstellungen, da müsst ihr euch aber leider selbst durchwurschteln.

Wie erwähnt: So habe ich das jetzt für Charlie gelöst, ich selbst hatte das Problem nie, ich weiß nicht ob das Ganze so "okay gelöst" ist oder ähnliches, ich weiß nur, dass es funktioniert und ich mir nicht vorstellen kann wie das Verlinken von Dingen in Profilfeldern ein Sicherheitsrisiko werden kann; allerdings ist diese Regel eventuell auch für andere Dinge verantwortlich, dafür bin ich nicht genug in der "Materie".