Ведение журнала POST-запроса в modsecurity

Здравствуйте! Я использую libmodsecurity (4e6e4243|v3.0.3) на nginx(1.15.12) с текущим ведущим соединителем (d7101e13685), а OWASP CRS (ab24a20faf28156f0|v3.1.0).

Я пытаюсь записать тело POST-запроса (часть C в modsecurity) по определенному URL-адресу с чем-то похожим на следующее правило:

SecRule REQUEST_URI "/some_url/processor.php" \
  "id:66600001,\
  phase:2,\
  t:none,\
  log,\
  ctl:auditLogParts=ABCIJDEFHZ,\
  pass"

что приводит к тому, что nginx не начинается со следующей ошибки:

Expecting an action, got: ctl:auditLogParts=ABCIJDEFHZ,\

Я пробовал несколько вариантов CTL, в том числе ctl:auditLogParts=ABCFHZ а также ctl:auditLogParts=AC, Все выкидывают одну и ту же ошибку.

Любопытно делать это с ctl:auditLogParts=+C позволяет запускать nginx, но, к сожалению, журнал аудита не показывает тело запроса POST, на самом деле он ничего не показывает.

Конечно, изменение конфигурации SecAuditLogParts в modsecurity.conf из ABIJDEFHZ (по умолчанию) ABCIJDEFHZ изменяет ведение журнала, но делает нас несовместимыми из-за множества правил.

0 ответов

Другие вопросы по тегам