안녕하세요 쪽팔리면 질문하지 말라고 써있는데 그래도 먹고 살려고(...) 질문 올립니다.
이틀 삽질했는데 안됐으니 고견을 여쭙고자 합니다.
질문은 아래와 같습니다.
mod_security에서 DetectionOnly ON 에서는 안걸리는데,
DetectionOnly OFF 상태에서는 블럭되는 경우 어떻게 원인이 되는 룰을 찾아야 할까요?
환경은 Rocky Linux 8.9 / apache 2.4 / php 8.4
mod_security는 dnf로 설치했으며 버전은
mod_security-2.9.6-1.el8.x86_64 입니다.
기본적으로는 CentOS7 시절에 쓰던 것들을 그대로 가져온 상태이며
mod_security 설정도 그대로 입니다.
파일 업로드를 하면 파일이 업로드 되지 않는 상황인데
SecRuleEngine DetectionOnly 옵션을 활성화 한 상태로는
당연히 파일 업로드가 되고 어떠한 에러/디버그 메시지도 나타나지 않습니다.
audit.log
modsec_audit.log
modsec_debug.log
SecRuleEngine DetectionOnly 옵션을 꺼서 실제로 블럭하게 한 상황에서는
modsec_debug.log에서
[18/Mar/2024:11:28:59] [localhost/sid#563f93697640][rid#7f103401de20][/api/front/index/][1] Multipart parsing error: Multipart: Final boundary missing.
요런게 찍히고요
apache error 로그에는
[Mon Mar 18 11:28:59] [:error] [pid 2207392:tid 139707031746304] [client ::1:57880] [client ::1] ModSecurity: Multipart parsing error: Multipart: Final boundary missing. [hostname "localhost"] [uri "/api/front/index/"] [unique_id "Zfem6yDs7FhPxjvCHrnUQgAAANM"]
[Mon Mar 18 11:28:59.738473 2024] [proxy_fcgi:error] [pid 2207392:tid 139707249825536] [client 201.xxx.xxx.174:60428] AH01071: Got error 'PHP message: PHP Warning: file_get_contents(https://localhost/api/front/index/?lang=ja&ckey=audio&akey=add): failed to open stream: HTTP request failed! HTTP/1.1 500 Internal Server Error\r\n in /public_html/Component/Component.php on line 118\n', referer: https://test.xxxxxxxx.com/auto/audio/add/?lang=ja
요런식으로 찍히더군요
Component.php on line 118 는 업로드한 파일을 읽어들이는 부분이라 localhost로 던졌을 때 실제 파일이 업로드되지 않아서 발생하는 것으로 추측하고 있습니다. 그렇다고 제가 마음대로 고칠 수 있는 것도 아니라...
ModSecurity: Multipart parsing error: Multipart: Final boundary missing.
로 검색해보니 대용량 파일 업로드 시에 발생한다는 것 같은데
파일 용량이 1MB 이하의 작은 파일에서 발생하고 있습니다.
modsecurity.conf 파일 설정은 아래와 같습니다.
<IfModule mod_security2.c>
<IfModule unique_id_module>
SecRuleEngine On
# SecRuleEngine DetectionOnly
SecRequestBodyAccess On
SecDebugLog logs/modsec_debug.log
SecDebugLogLevel 3
SecTmpDir /tmp/
SecUploadDir /tmp/
SecDataDir /tmp/
SecAuditEngine On
SecAuditEngine RelevantOnly
SecAuditLogType concurrent
SecAuditLogParts ABIDEFGHZ
SecAuditLogStorageDir /tmp/
SecAuditLog logs/audit_log
SecPcreMatchLimit 100000
SecPcreMatchLimitRecursion 100000
SecRequestBodyLimit 13107200
SecRequestBodyNoFilesLimit 13107200
SecRequestBodyInMemoryLimit 13107200
SecRequestBodyLimitAction ProcessPartial
Include modsecurity.d/crs-setup.conf
Include /usr/share/mod_modsecurity_crs/rules/*.conf
</IfModule>
</IfModule>
로그레벨 올렸더니 일일히 나오긴하는데, 너무 많...
고견을 부탁드립니다. ㅜ_ㅜ
한번 설정값을 확인해보세요..
A: 주어진 ModSecurity 설정에서 "Multipart parsing error: Multipart: Final boundary missing"와 같은 문제를 해결하기 위해 의심해볼 수 있는 몇 가지 사항은 다음과 같습니다:
1. SecRequestBodyLimit 및 관련 설정 확인: 주어진 설정에서 요청 본문의 크기 제한이 설정되어 있습니다. 이 설정들을 통해 요청의 크기를 제한하고 그에 따른 문제를 방지할 수 있습니다. 그러나 이 설정이 너무 작게 구성되어 있거나, 멀티파트 요청의 크기가 설정된 제한을 초과하는 경우에는 이러한 문제가 발생할 수 있습니다.
2. SecRequestBodyInMemoryLimit 설정 확인: 이 설정은 요청 본문을 메모리에 저장하는 데 사용할 수 있는 최대 메모리 양을 제어합니다. 만약 이 설정이 너무 작게 구성되어 있으면 큰 멀티파트 요청을 처리할 때 문제가 발생할 수 있습니다.
3. SecRequestBodyLimitAction 설정 확인: 이 설정은 요청 본문의 크기 제한에 도달했을 때 ModSecurity가 어떻게 동작해야 하는지를 제어합니다. 예를 들어, "ProcessPartial"로 설정된 경우, 요청의 일부를 처리하고 나머지를 무시합니다. 이 설정이 적절하게 구성되어 있는지 확인해야 합니다.
멀티파트 관련 룰 확인: CRS (Core Rule Set)와 관련된 룰 세트를 포함하는 파일에는 멀티파트 요청을 처리하는 데 필요한 보안 규칙이 포함되어 있을 수 있습니다. 이러한 룰을 통해 멀티파트 요청의 유효성을 검사하고 관련된 문제를 방지할 수 있습니다.
주어진 설정에서는 CRS (Core Rule Set)와 관련된 설정도 포함되어 있으므로, CRS의 멀티파트 관련 룰을 통해 추가적인 보호 기능을 활용할 수 있습니다.
Q: 위 설정에서 현재 SecRequestBodyLimit 설정은 용량을 얼마를 의미하는가? 메가바이트로..
A: SecRequestBodyLimit 설정은 "13107200"으로 되어 있습니다. 이 값은 바이트 단위로 표시되며, 메가바이트로 변환하면 다음과 같이 됩니다:
13107200 바이트 = 13107200 / 1024 / 1024 ≈ 12.5 메가바이트
따라서 SecRequestBodyLimit 설정은 약 12.5 메가바이트입니다. 이 설정은 요청 본문의 최대 크기를 지정하는 것으로, 클라이언트가 서버로 전송할 수 있는 요청 본문의 최대 크기를 제한하는 역할을 합니다.
crs 룰은 기본적으로 사용하고 있는 룰셋이고, 현행 시스템에서는 문제없이 작동하고 있습니다.
만약 룰셋을 변경한다면 현재 사용하는 시스템과 일관성에서 문제가 생기기 때문에 가능한한 그대로 사용하려고 합니다.
SecRequestBody*Limit 룰의 경우 원래는 설정하지 않고 사용하지만 혹시나해서 넣어본 설정입니다.
사용하는 파일의 용량은 1MB 이하이기 때문에 명시적으로 12MB 정도 설정하면 문제가 없을거라 생각했는데 개선되지 않고 있습니다. ㅜ_ㅜ
위 설정으로 로드를 하고 간단한 업로드 페이지 작성해서 테스트를 해봤는데, 설정에는 별 문제 없이 업로드는 되네요..
다만 테스트를 위해서SecRequestBodyLimit 옵션값을 13107 로 줄이고 작은 이미지 파일등을 업로드 했을때
기존 설정으로는 잘 올라갔는데 반해 제한이 걸린 경우 아래와 같은 로그로 차단되긴 했습니다. 참고가 될지 모르겠습니다.
[18/Mar/2024:13:57:57.096980 +0900] [아이피/sid#55cda7aa9d28][rid#7fb898007ac0][/up.html][2] Warning. Pattern match "^[\\d.:]+$" at REQUEST_HEADERS:Host. [file "/경로/apache/coreruleset/rules/REQUEST-920-PROTOCOL-ENFORCEMENT.conf"] [line "736"] [id "920350"] [msg "Host header is a numeric IP address"] [data "아이피"] [severity "WARNING"] [ver "OWASP_CRS/3.3.5"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-protocol"] [tag "paranoia-level/1"] [tag "OWASP_CRS"] [tag "capec/1000/210/272"] [tag "PCI/6.5.10"]
[18/Mar/2024:13:58:01.649251 +0900] [아이피/sid#55cda7aa9d28][rid#7fb898027e70][/upload.php][1] Request body (Content-Length) is larger than the configured limit (13107).
[18/Mar/2024:13:58:01.649681 +0900] [아이피/sid#55cda7aa9d28][rid#7fb898027e70][/upload.php][1] Request body (Content-Length) is larger than the configured limit (13107).
[18/Mar/2024:13:58:01.649964 +0900] [아이피/sid#55cda7aa9d28][rid#7fb898027e70][/upload.php][1] Multipart parsing error: Multipart: Final boundary missing.
버젼 업데이트를 한번 해보시는 것도 어떨까 생각됩니다.
저는 아래 레포지토리에서 소스로 설치 했었습니다.
# ModSecurity 소스 다운로드
# git clone -b v2.9.7 --single-branch https://github.com/SpiderLabs/ModSecurity.git
2.9.7 로 설치해서 해결됐습니다.
룰은 그대로 두고요
OWASP 룰로 변경해도 문제없이 되는군요
...소스 설치를 싫어하는 사람들이 많아서 템플릿을 아에 rpm으로 만들기만하다보니
이런 일이 다 생기네요 ㅋㅋㅋ
1. Temp폴더 (Upload folder) 지정.
2. 폴더 권한 설정 chmod 777 /Upload folder
이렇게 풀은 적이 있습니다. 예전 일이죠.
위 방법은 이미 확인을 했었는데 해결되지 않았었습니다.
아무래도 2.9.6 버전이 저랑 친하고 싶지 않았던 것 같습니다. ㅜ_ㅜ