OWASP CRS ModSecurity规则942150误报处理：@contains多值语法求助

ModSecurity @contains 多匹配值语法说明 #

ModSecurity 原生的 @contains 运算符仅支持单字符串匹配，无法直接在单个@contains后声明多个待匹配值，如需匹配cos、user、name多个任意关键词，可使用以下两种方案实现：

方案1：替换为@rx正则运算符（推荐）

用正则分支符号|分隔多个关键词，匹配逻辑与@contains完全一致，只要目标参数包含任意一个关键词即可命中规则，修改后的完整配置如下：

SecRule REQUEST_FILENAME "@streq template.html" \
    "id:9999001,\
    phase:1,\
    pass,\
    t:none,\
    nolog,\
    chain"
    SecRule REQUEST_METHOD "@streq GET" \
        "chain"
        SecRule ARGS:q "@rx cos|user|name" \
            "t:none,\
            ctl:ruleRemoveTargetById=942150;ARGS:q"

如需忽略大小写匹配，可在正则表达式开头添加(?i)修饰符，即写成@rx (?i)cos|user|name。

方案2：拆分多组@contains规则

如果必须保留@contains运算符使用，可通过反向判断的链规则实现多值匹配，写法如下：

SecRule REQUEST_FILENAME "@streq template.html" \
    "id:9999001,\
    phase:1,\
    pass,\
    t:none,\
    nolog,\
    chain"
    SecRule REQUEST_METHOD "@streq GET" \
        "chain"
        SecRule ARGS:q "!@contains cos" "chain"
        SecRule ARGS:q "!@contains user" "chain"
        SecRule ARGS:q "!@contains name" \
            "deny"

该写法逻辑等价于方案1：只要参数包含三个关键词中的任意一个，就不会触发deny动作，也会执行跳过942150规则的配置，适合需要单独管控每个匹配条件的场景使用。

内容的提问来源于stack exchange，提问作者shajin raj