Как отключить mod_security в NGINX?

Question

[Вадим Тимошенко]

С сайтом возникла проблема. Обратился к разработчику CMS. Тот посоветовал отключить mod_security.

Пробовал в .htaccess вставлять код:

<IfModule mod_security2.c>
SecRuleEngine Off
</IfModule>

Толку нет. Может быть как то на сервере он отключается? А он вообще есть у меня? Где узнать его наличие и узнать включен ли он вообще?
Сервер NGINX + PHP7.2-FPM.

Answer 1

[Андрей Буров]

Если у Вас на самом деле установлен modsecurity под nginx, то:
https://www.trustwave.com/Resources/SpiderLabs-Blo...
ModSecurityEnabled off;

Узнать установлен ли он можно с помощью nginx -V

Comments

[Борис Сёмов]

И что, это действительно решение? Действительно был установлен этот модуль?

Answer 2

[Softer]

А он вообще есть у меня?

Нет. Это апачевый модуль. Равно как и костыль .htaccess.

Comments

[Андрей Буров]

https://www.trustwave.com/Resources/SpiderLabs-Blo...

[Softer]

Андрей Буров, thirdparty beta? Как-то не беру его в расчет :)

[Андрей Буров]

Softer, я тоже, но в вопросе почему-то жирным выделили что mod_security и nginx.

[Softer]

Андрей Буров, ага. И при этом .htaccess правили ;)

[Андрей Буров]

Softer, ну про .htaccess посоветовал какой-то там разработчик CMS.

[Борис Сёмов]

Проблема, очень вероятно, в не очень корректном переносе конфигурации приложения в nginx, а про mod_security "отписка" автора софта у которого нет желания углубляться в проблему, или просто один из пунктов его чеклиста поиска соответствующей проблемы...

Но можно подождать, что нам напишет автор вопроса, про конфигурацию его сервера, есть-ли там апач, и.т.п.

Answer 3

[Борис Сёмов]

В nginx нет mod_security, ну и nginx не обрабатывает .htaccess вовсе. Так что если разговор только о нём, то проблема где-то ещё.

Если apache за nginx есть, то apache2ctl -M(или apachectl, смотря какой у вас дистрибутив), покажет какие модули у вас подключены.

И если mod_security есть, но не выключается через .htaccess, то может быть у вас просто не включена обработка(AllowOverride).

Comments

[Андрей Буров]

https://www.trustwave.com/Resources/SpiderLabs-Blo...

[Борис Сёмов]

Ок. Но крайне мало вероятно, что он у автора вопроса магически оказался - его нет в репозиториях, надо собирать руками, он ещё не релизнулся и.т.п.
Вообще у nginx есть ещё NAXSI, если уж всё вспоминать, но опять же, вероятность того, что он сконфигурирован ничтожна.

[Андрей Буров]

Да согласен. Хотелось бы комментов от автора вопроса Вадим Тимошенко

Загляните еще в соседний ответ, мы там тоже дискуссию на эту тему развели.