Résolu .htaccess désactivé une rule spécifique de mod_security

[Pyloux31]

Bonjour,

j'ai un souci sur mon espace admin Xenforo, lors de certaine requête je tombe sur l'erreur 406 (phase 2)
la cause:

Test 'REQUEST_FILENAME|ARGS' against '\b(?:(?:s(?:ys(?:(?:(?:process|tabl)e|filegroup|object)s|c(?:o(?:nstraint|lumn)s|at)|dba|ibm)|ubstr(?:ing)?)|user_(?:(?:(?:constrain|objec)t|tab(?:_column|le)|ind_column|user)s|password|group)|a(?:tt(?:rel|typ)id|ll_objects)|object_(?:(?:nam|typ)e|id)|pg_(?:attribute|class)|column_(?:name|id)|(?:dba|mb)_users|xtype\W+\bchar|rownum)\b|t(?:able_name\b|extpos\W+\())' is true.

Elle trigger quand j'essaye d'ajouté des node permissions aux user groups.

la rule de mod_security qui bloque est 1234123418

je voudrais désactivé cette règle dans le .htaccess mais je n'y suis pas parvenu (pas très doué avec ce type de fichier)

J'ai essayer SecRuleRemoveById 1234123418 ça ne fonctionne pas.
J'ai également essayer sans succès

<LocationMatch "/admin.php">
SecRuleRemoveById 1234123418
</LocationMatch>

Par contre le désactivé avec

SecFilterEngine Off
SecFilterScanPOST Off

fonctionne, mais je ne souhaite pas faire ça.

J'aimerai pouvoir uniquement désactivé cette rule ou bien désactivé complètement mod_security sur la page admin.php
Si vous pouvez m'aiguiller, ça serait très gentil =)


mon .htaccess actuel

# Mod_security can interfere with uploading of content such as attachments. If you
# cannot attach files, remove the "#" from the lines below.
#<IfModule mod_security.c>
# SecFilterEngine Off
# SecFilterScanPOST Off
#</IfModule>

ErrorDocument 401 default
ErrorDocument 403 default
ErrorDocument 404 default
ErrorDocument 405 default
ErrorDocument 406 default
ErrorDocument 500 default
ErrorDocument 501 default
ErrorDocument 503 default

<IfModule mod_rewrite.c>
RewriteEngine On

# If you are having problems with the rewrite rules, remove the "#" from the
# line that begins "RewriteBase" below. You will also have to change the path
# of the rewrite to reflect the path to your XenForo installation.
#RewriteBase /xenforo

# This line may be needed to workaround HTTP Basic auth issues when using PHP as a CGI.
#RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

RewriteCond %{REQUEST_FILENAME} -f [OR]
RewriteCond %{REQUEST_FILENAME} -l [OR]
RewriteCond %{REQUEST_FILENAME} -d
RewriteRule ^.*$ - [NC,L]
RewriteRule ^(data/|js/|styles/|install/|favicon\.ico|crossdomain\.xml|robots\.txt) - [NC,L]
RewriteRule ^.*$ index.php [NC,L]


SecRuleEngine Off
SecFilterInheritance Off
SecFilterEngine Off
SecFilterScanPOST Off
SecRuleRemoveById 1234123418
</IfModule>
RewriteCond %{HTTP_HOST} ^subdom\.domaine\.com$ [OR]
RewriteCond %{HTTP_HOST} ^www\.subdom\.domaine\.com$
RewriteRule ^/?$ "http\:\/\/domaine\.com\/" [R=301,L]

Merci d'avance


EDIT:
J'ai réussi a partiellement résoudre mon problème, désactivé mod_security uniquement sur la page admin.php, par contre, juste désactivé la rule je n'y arrive toujours pas :/
Au pire, je peux resté comme ça.

<LocationMatch "/admin.php">
SecFilterEngine Off
SecFilterScanPOST Off
</LocationMatch>

 

[Paul GTP]

Hello
Je n'ai aucune expérience en xenforo, mais ce qui est rule/permission, tu es sûr que tu peux pas le gérer autrement que depuis le htaccess ? Ça me paraît pas être une bonne pratique de toucher à ça
Le htaccess est un fichier qui fonctionne sous Apache, mais admettons que demande tu migres sur un serveur Nginx ? Bah tu perds ta config !

En général, des développeurs compétents (et j'ose espérer que c'est le cas de XenForo vu le prix de leurs CMS) créent leur CMS pour qu'il soit portable et adapté à tout type d'infra, alors tu dois pouvoir modifier tes règles/permissions ailleurs

Après comme je l'ai dit, je n'ai aucune expérience en XenForo, donc peut-être que je suis hors sujet, mais ça m'étonne un peu tout ça
@Thibeault pour jeter un coup d'oeil ?

 

[Pyloux31]

Bonjour Paul,
merci de ta réponse, le truc c'est que c'est la sécurité du serveur qui bloque (mod_security) pas xenforo lui même, je n'ai rien trouvé sur xenforo pour gérer le mod_security du serveur.
Mais ma solution me convient, de toute façon ce n'était que provisoire le temps de config node permissions =)

Bonne journée

 

[Melvin' SEC]

Salut,
J'ai déplacé ta discussion en section Résolu.

Bonne après-midi,
Melvin'