Problem z ostrzeżeniem - Admin

[Marketer]

Witam,
Chciałem dokonać paru korekt tłumaczenia z poziomu admina i wchodząc w PA > Lokalizacja > Tłumaczenia wyskoczyło mi takiej treści ostrzeżenie:
Na Twoim serwerze aktywowany jest mod_security. Może to skutkować błędami Bad Request.

 

Dodam, że skontaktowałem się z administracją i poinformowali mnie, że mod_security jest wyłączony.

Zbagatelizować to? Czy szukać przyczyny? Czym ewentualnie może to skutkować?

 

Korzystam z Presty 16.1.14 i multistore - tak w razie ewentualnych pytań.

 

Z góry dziękuję.

Pozdrawiam.

[Piotr K.]

Spróbuj i zobaczysz czy będzie jakiś błąd. Oczywiście backup masz

[e_com]

W SEO & URL masz opcję "Wyłącz moduł Apache's mod_security".

Zostanie dodana dyrektywa do htaccess wyłączająca mod_security, bo co tam gada support hostingu, to często można między bajki włożyć. Przeważnie siedzą tam jakieś Dziunie po markjetningach, które nie mają pojęcia co piszą i o czym piszą.

[Marketer]

Oczywiście backup masz

A propos backupów to przy okazji podpytam - polecasz robienie backupu BD z poziomu admina. Czy lepiej robić go z poziomu samej bazy danych? Pytam, bo wiem, że nie wszystkie rozwiązania, które ma Presta są doskonałe.

[Marketer]

W SEO & URL masz opcję "Wyłącz moduł Apache's mod_security".

Zostanie dodana dyrektywa do htaccess wyłączająca mod_security, bo co tam gada support hostingu, to często można między bajki włożyć. Przeważnie siedzą tam jakieś Dziunie po markjetningach, które nie mają pojęcia co piszą i o czym piszą.

Wiesz, najgorsze jest to, że ja już z tej opcji korzystałem. Włączałem i wyłączałem.... czyściłem cache i nic... Przychodzi Wam na myśl jakieś rozwiązanie?

A jeśli chodzi o tę firmę hostingową to rozmawiałem z osobą techniczną, bo to się słyszy i czuje Poza tym znam tych ludzi.... Co nie znaczy, że nie można brać pod uwagę sytuacji, że pomimo tego i tak mod_security jest aktywny

[Piotr K.]

Najpewniejszy backup tylko z poziomu serwera.

Odpal phpinfo() i zobaczysz co wypluwa, bo presta nie ma szklanej kuli tylko na liście modułów bazuje.

To co i jak możesz sam zmienić (np. przez htaccess) zależy od serwera, czyli sprawdź i pytaj dostawcę.

[Marketer]

Najpewniejszy backup tylko z poziomu serwera.

Odpal phpinfo() i zobaczysz co wypluwa, bo presta nie ma szklanej kuli tylko na liście modułów bazuje.

To co i jak możesz sam zmienić (np. przez htaccess) zależy od serwera, czyli sprawdź i pytaj dostawcę.

Dzięki Piotr za sugestię. Zapomniałem o phpinfo. Sprawdziłem i może nie ma czegoś takiego jak mod_security, aczkolwiek jest załadowany mod_security2. Czy to coś zmienia? Czy w zasadzie to podobny moduł? Nie znam się na tym. Z kontekstu rozumiem, że to kolejna wersja, więc nie mówili mi prawdy...

Jest w sekcji Configuration > Apache2Handler > Loaded modules.

Rozumiem, że powinienem jeszcze raz do nich zadzwonić i naprostować sprawę związaną z wczorajszą deklaracją?

 

EDIT:

Tylko zastanawia mnie, dlaczego nie przynosi efektu działanie, o którym wyżej wspominał e_com (Wyłącz moduł Apache's mod_security)?

Edited July 14, 2017 by Marketer (see edit history)

[Piotr K.]

jak pisałem:

To co i jak możesz sam zmienić (np. przez htaccess) zależy od serwera, czyli sprawdź i pytaj dostawcę.

możesz spróbować ręcznie dodać

<IfModule mod_security.c>
  SecFilterEngine Off
  SecFilterScanPOST Off
</IfModule>

lub

<IfModule mod_security2.c>
  SecFilterEngine Off
  SecFilterScanPOST Off
  SecRuleEngine Off
</IfModule>

itp. ale czy zadziała to zależy...

[Marketer]

Czy ma ktoś wiedzę na ten temat, czy to możliwe, że mod_security jest załadowany i nieaktywny? Taką dostałem informacje od admina, że Presta i phpinfo źle interpretują to, pokazując jakoby było aktywne, a niby tak nie jest...

[Piotr K.]

Na początku napisałem Ci abyś spróbował czy wszystko działa.

Zamiast tego ustaliłeś, że moduł jest załadowany na serwerze, masz przykłady jest wyłączyć jego działanie (o ile jest to możliwe) - w uniwersalnym ujęciu

<IfModule mod_security.c>
  SecFilterEngine Off
  SecFilterScanPOST Off
</IfModule>

<IfModule mod_security2.c>
  SecRuleEngine Off
</IfModule>

Pozostaje Ci sprawdzić jaką masz konfigurację (może np. działać tylko w trybie wykrywania i nie podejmować żadnych działań poza logowaniem błędów), ale do tego zapewne nie masz dostępu. W aktualnej wersji odpowiada za to właśnie SecRuleEngine które może mieć wartości On, Off lub DetectionOnly.

 

edit - dokumentacja: modsecurity.org/documentation.html

Edited July 14, 2017 by Piotr K. (see edit history)