XF2.3 Modsecurity

[mph]

Da ich wegen verschiedener Beschränkungen meines bisherigen Servers einen Umzug vorbereite, habe ich auf einem neuen Server Plesk eingerichtet. Eine Testinstallation funktioniert soweit. Wenn ich allerdings Modsecurity mit dem Regelsatz OWASP in der Web Application Firewall einschalte, funktionieren z.B. Uploads nicht mehr. Eine Internetsuche hat meistens nur Aussagen mit Problemen gefunden und als Lösung meistens, Modsecurity auszuschalten.

Gibt es irgendwo eine Aufstellung, was man am besten konfiguriert (und vor allem wie), damit XenForo, XFMG und XFRM funktionieren? Oder schaltet ihr Modsecurity aus?

 

[Holger]

Modsecurity mit dem Regelsatz OWASP

da kannst du dich Tot konfigurieren, ist zwar für wp aber vielleicht bringt dich das weiter NGINX + ModSecurity v3 + OWASP CRS unter Ubuntu 24.04 LTS – Schritt für Schritt – Teil 3
ich hatte seit 25 Jahren noch nie Modsecurity in gebrauch

 

[mph]

@otto wie handhabst du das in Plesk?

 

[otto]

Ich hab drei Regeln von ModSecurity deaktiviert die mit Xenforo kollidieren (bearbeite mal die Rechte eines Elements, da meckert ModSec auch)

Auf der Seite wo der Fehler auftritt rufst du dir die Browserkonsole auf und schaust was er meckert - da steht dann auch die auslösende Regel-ID für ModSec drin die man dann bearbeiten oder deaktivieren kann ohne ModSec gleich ganz den Hahn abzuwürgen. So ganz unnütz isses ja nu auch nicht.

Kannst in den Einstellungen im Plesk ganz bequem anpassen.


Und sonst so...
Hab nu seit ewig mal wieder eine zusätzliche XF-Lizenz erworben und ein neues 2.3.x aufgesetzt und war erfreut das es endlich Webp unterstützt, was den Speicherplatzbedarf doch erheblich senkt (Komprimierungsrate kann man per config.php einstellen).
Auch das frisch hochgeladene Bilder auf Wunsch automatisch zu webp gewandelt werden ist da eine Wohltat.

Was mich aber immer noch ankotzt als Addon-Junkie:
Wenn ich mir ne Sprachdatei herunter lade ist das immer ein zip - warum kann das ACP diese nicht selber auspacken und sich das XML daraus ziehen wie bei den Addons ja auch. Das man die immer noch manuell erst entpacken muss geht einem bei zig Mini-Addons dann doch auf den Zeiger.

@McAtze
Ich stell mal den Antrag den Zwinkerschmeilie auch mit zu akzeptieren - bitte, danke.

 

[mph]

Was mich aber immer noch ankotzt als Addon-Junkie:
Wenn ich mir ne Sprachdatei herunter lade ist das immer ein zip - warum kann das ACP diese nicht selber auspacken und sich das XML daraus ziehen wie bei den Addons ja auch. Das man die immer noch manuell erst entpacken muss geht einem bei zig Mini-Addons dann doch auf den Zeiger.

Steht das hier in deiner config.php?

$config['enableAddOnArchiveInstaller'] = true;

Hab nu seit ewig mal wieder eine zusätzliche XF-Lizenz erworben und ein neues 2.3.x aufgesetzt und war erfreut das es endlich Webp unterstützt, was den Speicherplatzbedarf doch erheblich senkt (Komprimierungsrate kann man per config.php einstellen).
Auch das frisch hochgeladene Bilder auf Wunsch automatisch zu webp gewandelt werden ist da eine Wohltat.

Das habe ich bisher noch nicht ausprobiert. Sperrt man damit irgendwelche User aus oder ist die Wahrscheinlichkeit mittlerweile sehr hoch, dass es unterstützt wird?

Modsecurity sperrt bisher viele Uploads von Attachments.

 

[McAtze]

@McAtze
Ich stell mal den Antrag den Zwinkerschmeilie auch mit zu akzeptieren - bitte, danke.

Geht..

 

[mph]

Ich habe es hinbekommen. Ich habe ModSecurity erst auf Nur Erkennen gestellt, verschiede Dinge im Forum gemacht und im Log der WAF geschaut, welche Regel-IDs unter meiner IP als Error auftauchen. So findet man heraus, was Probleme macht und kann es einstellen, dass es geht.