ModSecurity et envoi d'avatar bloqué

Eléphanteau du PHP | 28 Messages

15 nov. 2006, 05:00

Bonjour !

Il est impossible d'envoyer des avatars depuis son ordinateur personnel sur mon forum PHPBB. Sur le serveur, j'ai installé ModSecurity.

J'ai regardé dans le fichier log de modSecurity et je trouve cette ligne :
mod_security-message: Warning. Pattern match "style[[:space:]]*=" at POST_PAYLOAD [msg "XSS attack"] [severity "EMERGENCY"]
Désactiver cette option dans le fichier de configuration de ModSecurity peut-il poser un gros problème ?

Sinon, quelle solution aurais-je ?

Merci pour votre aide ! :)
SecondSight
---------------------------
Je ne suis pas du tout expert en la matière. Mon métier, c'est instituteur, pas informaticien, mais je veux bien apprendre, quand j'en ai le temps. :-)
Le site de mes élèves :
http://www.bellepierre.info

Avatar du membre
Administrateur PHPfrance
Administrateur PHPfrance | 9782 Messages

15 nov. 2006, 15:37

Bonjour,

Tu as un espace dans le nom de fichier de l'avatar que tu essayes d'uploader?
Modifié en dernier par @rthur le 15 nov. 2006, 23:57, modifié 1 fois.
Quand tout le reste a échoué, lisez le mode d'emploi...

Eléphanteau du PHP | 28 Messages

15 nov. 2006, 16:33

Non, il n'y en a pas. Le fichier s'appelle av-1.gif.
SecondSight
---------------------------
Je ne suis pas du tout expert en la matière. Mon métier, c'est instituteur, pas informaticien, mais je veux bien apprendre, quand j'en ai le temps. :-)
Le site de mes élèves :
http://www.bellepierre.info

Avatar du membre
Administrateur PHPfrance
Administrateur PHPfrance | 9782 Messages

16 nov. 2006, 00:01

Pas d'espace non plus dans l'url d'envoi de ton formulaire (dans le nom du fichier, le nom de répertoire ou dans la valeur d'une autre variable)?
Car le message d'erreur semble indiquer que mod_security a trouvé que ce qui est passé en POST contient un espace (Pattern match "style[[:space:]]*=")...
Sinon essaye en renommant ton fichier uniquement avec des lettres pour voir si ça passe (sans tiret ni caractères spéciaux).
Quand tout le reste a échoué, lisez le mode d'emploi...

Administrateur PHPfrance
Administrateur PHPfrance | 3088 Messages

16 nov. 2006, 01:30

Peut-être que le "style " se trouve dans les méta-informations du fichier... auquel cas c'est mal barré. Essaie de l'ouvrir puis le resauvegarder avec un logiciel de retouche d'image peut-être ?

Eléphanteau du PHP | 28 Messages

18 nov. 2006, 19:50

Bonjour !

Je viens de rétablir la ligne qui semblait poser problème (style[[:space:]]*=) et à ma grande surprise le changement d'avatar a été fait (j'ai également un problème avec open_basedir - il me semble que c'est cette directive qui pose problème en fait).

Cela dit, en regardant dans le fichier log de ModSecurity, j'obtiens à nouveau un message d'alerte.

Lorsque je modifie l'avatar, j'envoie aussi les autres informations du formulaire. Peut-être donc que le message dans le fichier log ne correspond pas à l'envoi de l'avatar, mais simplement à l'un des autres champs de données du profil qui contient un espace ?
Request: www.monsite.info 15.48.288.547- - [18/Nov/2006:18:35:53 +0100] "POST /modules.php?name=Forums&file=profile HTTP/1.1" 200 3596 "http://www.monsite.info/modules.php?nam ... ditprofile"
----------------------------------------
POST /modules.php?name=Forums&file=profile HTTP/1.1
Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Accept-Encoding: gzip,deflate
Accept-Language: fr,fr-fr;q=0.8,en-us;q=0.5,en;q=0.3
Connection: keep-alive
Content-Length: 7414
Content-Type: multipart/form-data;
Cookie:

Keep-Alive: 300
Referer: http://www.mon site.info/modules.php?name=Forums&file=profile&mode=editprofile

mod_security-message: Warning. Pattern match "style[[:space:]]*=" at POST_PAYLOAD [msg "XSS attack"] [severity "EMERGENCY"]

5165
-----------------------------54644613464546
Content-Disposition: form-data; name="username"

MonLogin
-----------------------------54644613464546
Content-Disposition: form-data; name="email"

[email protected]
-----------------------------54644613464546
Content-Disposition: form-data; name="cur_password"


-----------------------------54644613464546
Content-Disposition: form-data; name="new_password"


-----------------------------54644613464546
Content-Disposition: form-data; name="password_confirm"


-----------------------------54644613464546
Content-Disposition: form-data; name="icq"
Etc. il y a d'autres champs dans le profil.

Qu'en pensez-vous ?

Merci; :)
SecondSight
---------------------------
Je ne suis pas du tout expert en la matière. Mon métier, c'est instituteur, pas informaticien, mais je veux bien apprendre, quand j'en ai le temps. :-)
Le site de mes élèves :
http://www.bellepierre.info