Debian10下ModSecurity规则942100误报调优技术求助

关于libinjection指纹'1kn&n'的说明 #

• libinjection的指纹是它内部生成的特征标识，对应检测到的疑似SQL注入语法模式，没有公开的直接查询对照表，本质是基于输入字符串的语法结构算出的哈希类标记，用来归类相同触发逻辑的案例。
• 看你这边的场景（ARGS:details是包含数字、人名、短词的短句），大概率是输入里的某个字符组合（比如数字加特定短词的搭配）被libinjection误判成了SQL注入的语法片段。

针对性调优方法（无需禁用规则） #

1. 精准白名单特定输入 #

可以新增一条ModSecurity规则，只对ARGS:details参数中触发该误报的情况放行，不影响其他参数的SQL注入检测：

SecRule ARGS:details "@rx 匹配误报的真实片段" \
    "id:1000001,\
    phase:2,\
    pass,\
    nolog,\
    ctl:ruleRemoveById=942100"

注意：把上面@rx后面的内容替换成脱敏前触发误报的真实输入片段（比如如果是包含1kn&n的特定短句，就写对应的精准正则），避免过度放行。

2. 调整规则触发逻辑 #

找到/usr/share/modsecurity-crs/rules/REQUEST-942-APPLICATION-ATTACK-SQLI.conf里的942100规则，你可以尝试：

• 给规则添加ctl:ruleEngine=DetectionOnly，让它只记录日志不拦截，先观察误报的范围；
• 或者调整规则的paranoia-level（偏执级别）降低敏感度，但这可能会影响对真实攻击的检测，谨慎使用。

3. 版本升级（可选） #

Debian 10即将终止支持，你用的ModSecurity 2.9.3和CRS 3.2.3都是较老的版本，新版本的libinjection和CRS修复了大量误报问题，如果条件允许，升级到Debian 11及以上版本，同时更新ModSecurity和CRS到最新稳定版，能从根源减少这类误报。

内容的提问来源于stack exchange，提问作者Richard Smith