Исходящая фильтрация
ModSecurity поддерживает исходящую фильтрацию для Apache 2. По умолчанию она выключена. Чтобы использовать исходящую фильтрацию, используется директива:
SecFilterScanOutput On
После этого следует просто добавлять фильтры, используя специальную переменную OUTPUT:
SecFilterSelective OUTPUT "credit card numbers"
В следующем примере перехватывается исходящее сообщение об ошибке РНР в теле ответа и заменяется ответ с ошибкой.
SecFilterSelective OUTPUT "Fatal error:" deny,status:500 ErrorDocument 500 /php-fatal-error.html
Следует заметить, что хотя и можно перемешивать выходные и входные фильтры, они не выполняются одновременно. Входные фильтры выполняются перед тем, как запрос будет обработан Apache, в то время как выходные — после того, как Apache завершит обработку запроса.
Действия skipnext и chain не работают с выходными фильтрами.
Выходная фильтрация используется только для выхода в виде plain-текста и HTML. Применение регулярных выражений к бинарным данным (например, к изображениям) сильно загрузит сервер. По умолчанию ModSecurity сканирует выходные данные в ответах, в которых не указан Content Type или Content Type есть text/plan или text/html. Это можно изменить, используя директиву SecFilterOutputMimeTypes:
SecFilterOutputMimeTypes "(null) text/html text/plain"
В данной конфигурации ModSecurity будет применять выходные фильтры к файлам в виде plain-текста, HTML-файлам и файлам, чей MIME-тип не указан.
При использовании буферизации ModSecurity держит всю страницу в памяти, независимо от размера страницы.
Исходящий мониторинг является полезной возможностью при определенных обстоятельствах. При этом следует гарантировать, что его нельзя обойти. Если атакующий имеет полный контроль над обработкой запроса, он может обойти исходящий мониторинг двумя способами:
-
Использовать Content-Type, который не просматривается. По причинам, связанным с производительностью, невозможно просматривать все типы содержимого;
- Некоторым способом перекодировать выходные данные. Даже простейшее перекодирование может обмануть мониторинг.
Поддерживается выходная переменная – OUTPUT_STATUS. Данная переменная определяет код статуса в ответе.
