Как создать в фаерволе правило, блокирующее содержащие символы?

Question

[MoyMirok]

Всем привет. Как добавить блокировку в фаерволе любых запросов, содержащих: ${ ?

Comments

[Valentin Barbolin]

Почему бы не настроить блокировку на уровне web сервера?

[MoyMirok]

Andrey Barbolin, Как? Если бы я знал, я бы не спрашивал

[Valentin Barbolin]

MoyMirok, Как пример на nginx, я ведь не телепат...
https://fedingo.com/nginx-block-url-access/

[MoyMirok]

Andrey Barbolin, Строка для использования такая: %24%7B%28%23ª%3D%40 в уязвимости. Я использую nginx, то в вашем примере не нашел этого.

[Valentin Barbolin]

MoyMirok, Так поищи в google.

[MoyMirok]

Andrey Barbolin, Зачем тогда создан этот сайт, если есть гугл?

[Valentin Barbolin]

MoyMirok, Сайт создан для тех кто погуглил и не нашел ответ.

[alex1478]

MoyMirok, cloudflare на бесплатном тарифе фильтрует эксплуатацию известных уязвимостей, может вам подойдёт. https://blog.cloudflare.com/waf-for-everyone/

[MoyMirok]

alex1478, Спасибо, своё железо. Политика-с

Answer 1

[CityCat4]

Никак.

Сначала научи его расшифровывать https-соединения :). Во времена нешифрованного тырнета можно было через Layer7, сейчас же после повсеместного влезания рекламистов в каждую половую щель и, как результат - повального перехода на https - никак.

Comments

[MoyMirok]

Не совсем https надо, скорее это против уязвимости https://www.tarlogic.com/blog/cve-2022-26134-zero-...

Answer 2

[mayton2019]

Хотелось-бы знать против чего мы боремся? Против просмотра рекламы? Это один кейс. Можно браузеры соотв. образом настроить. Если боремся с отправкой формочек с рабочих мест - то тут надо тоже как-то по другому подходить.

Comments

[MoyMirok]

https://www.tarlogic.com/blog/cve-2022-26134-zero-...

[mayton2019]

MoyMirok, закрой все от внешнего интернета. Свои пользователи вряд-ли будут хулиганить. Логи-то пишутся. И ставь потихоньку патчи. Они уже опубликованы.

Answer 3

[Zerg89]

По идее не там копаете, это не в файрволе а уже на nginx или php-fpm эсли трафик входящий, для исходящего прокси сервер например pfsense

Comments

[MoyMirok]

Пример уязвимости:
Curl -v

https://10.0.0.28:8090/%24%7B%28%23ª%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22whoami%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23ª%29%29%7D/

Можете подсказать, в какой конфиг нгинкса мне ткнуть запрет %24%7B%28%23ª%3D%40 ?

[Zerg89]

server {
        listen 80 default_server;
        listen [::]:80 default_server;
        root /var/www/html;
        index index.html index.htm index.nginx-debian.html;
        server_name _;
        location / {
if ($request_uri ~* (%24%7) ){
    return 403;
}
                try_files $uri $uri/ =404;
        }
}

Что-то вроде этого, точно не скажу