SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

Bir sayfada JSON veya XML gövdesini tamamen yasaklayabilir miyim (Block All JSON Contents / Block All XML Contents)? ​

Kısa cevap

Evet. Sayfa tipinin JSON ya da Xml sekmesindeki ortak kuralda Block All JSON Contents ya da Block All XML Contents kutusu işaretlendiğinde, Content-Type'ı o türü bildiren ve gövde taşıyan her istek, gövde çözümlenmeden Structure Policies kategorisinde 24 puanlık ihlal üretir; form gövdeleri için Form sekmesinde Block All Form Contents bulunur. Kutu Checks penceresindeki ana anahtarlardan bağımsız çalışır ve Blocking ile Monitor modlarında uygulanır. Any paths varsayılanında üç kutu da işaretsizdir ve sayfa tipinde açılan ortak kural formu bu değerle gelir. OWASP Protection Level Aggressive iken Sync with Default WAF Rules işaretlenip kaydedilirse Any paths sıkı şablonla yeniden kurulur ve üç kutu işaretli gelir.

Sorun: Gövde Beklenmeyen Bir Türde Geliyor ​

Yalnızca form ya da JSON kabul eden bir path'e XML gövde (XXE denemeleri), ya da hiç JSON beklemeyen bir path'e JSON gövde gönderiliyor. Uygulamanın kullanmadığı bir gövde türünün o path'e hiç ulaşmaması isteniyor.

Çözüm: İki Yöntem ​

İki yöntem aynı kutuyu ayarlar; biri seçilir.

DurumunuzUygun yöntem
Ayarı arayüzden yapmak istiyorumYöntem 1: Ortak kuralda Block all kutusu
Betik ya da komut satırıyla yapmak istiyorumYöntem 2: WEB-CLI
  • Nasıl çalışırContent-Type JSON, XML ya da form türünü bildiriyorsa gövde çözümlenmeden ihlal yazılır.
  • Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → N page types → kural → JSON / Xml / Form → Add Common Rule for …
  • Gereksinim Ana anahtar gerekmez (Structure checks ve Argument checks kapalıyken de çalışır)
  • vService tipi WAF açık HTTP vService
  • Kapsam JSON: …/json ve +json · Xml: …/xml ve +xml · Form: application/x-www-form-urlencoded ve multipart/form-data

Adım adım yapılandırma ​

1
Adım 1 Page Types listesini aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde host grubunun N page types satırına tıklanır (Page Types ekranına erişim).

2
Adım 2 Sayfa tipini seç

Gövde türünün yasaklanacağı sayfa tipinin satırına tıklanır; detay paneli sağda açılır (panele erişim). Sayfa tipi yoksa önce eklenir (Yeni bir page type'ı elle nasıl eklerim?).

3
Adım 3 Sekmeyi aç

Yasaklanacak türe göre JSON, Xml ya da Form sekmesine tıklanır.

4
Adım 4 Ortak kural formunu aç

Tablonun üstündeki Add Common Rule for … tıklanır; kural kendi ortak kuralına sahipse buton Edit Common Rule for … olarak görünür. Ekleme formu Any paths kuralının o bölümdeki değerleriyle (kutu işaretsiz) dolu açılır.

5
Adım 5 Kutuyu işaretle

Block All JSON Contents (ya da Block All XML Contents, Block All Form Contents) kutusu işaretlenir.

6
Adım 6 Kaydet

Add (düzenlemede Edit) tıklanır; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama ​

1Yasaklı gövde türüİstemci tarafı

Host grubu Blocking modundayken yasaklanan türde gövde gönderilir.

Komut: curl -s -o /dev/null -w "%{http_code}\n" -H "Content-Type: application/xml" -d "<a/>" https://www.example.com/upload

Beklenen418
418, Blocking Status Code varsayılanıdır. Monitor modunda istek geçer, ihlal yalnızca kaydedilir.
2Event LogsTR7 tarafı

Event Logs kaydının Attacks sekmesine bakılır.

BeklenenAttack area: Xml · Attack name: Block all XML contents

Yöntem 2: WEB-CLI ​

  • Nasıl çalışır Kutu WEB-CLI ile --jsonBlockAll, --xmlBlockAll ya da --formBlockAll alanına yazılır.
  • Nerede açılır WEB-CLI → waf rule-parts
  • Gereksinim WEB-CLI erişimi
  • vService tipi WAF açık HTTP vService
  • Ön dolum farkıadd komutunda …BlockAll varsayılanı zaten açıktır; diğer alanlar da komutun varsayılanlarıyla yazılır

Adım adım yapılandırma ​

1
Adım 1 Kural kimliğini bul

Varsayılan host grubunun kimliği defaultHost'tur; kural kimlikleri id sütununda, path'leri açıklama sütununda listelenir:

text
waf fw-rules list poolId <vService> hostGroupId defaultHost
2
Adım 2 Kuralın parçalarını listele

Açıklama sütununda xml: (all keys) görünen satır Xml ortak parçasıdır:

text
waf rule-parts list poolId <vService> hostGroupId defaultHost ruleId <kural>
3
Adım 3 Ortak parça varsa güncelle
text
waf rule-parts update poolId <vService> hostGroupId defaultHost ruleId <kural> id <parça> --xmlBlockAll true
4
Adım 4 Ortak parça yoksa ekle
text
waf rule-parts add poolId <vService> hostGroupId defaultHost ruleId <kural> loc xml --xmlBlockAll true

Doğrulama ​

1Parça kaydıTR7 tarafı

Parça yeniden görüntülenir.

Komut: waf rule-parts show poolId <vService> hostGroupId defaultHost ruleId <kural> <parça>

BeklenenxmlBlockAll true

Sık Yapılan Hatalar ​

  • Kutuyu Any paths kuralında işaretlemek. Any paths kuralı, o bölüm için kendi ortak kuralı olmayan bütün path'lere uygulanır; o türde gövde kabul eden bütün sayfalar engellenir. Kutu yalnızca ilgili sayfa tipinde işaretlenir.
  • Aggressive düzeyde Sync with default WAF rules ile Any paths'i yeniden kurmak. Sıkı şablonda JSON, Xml ve Form için Block All … Contents işaretlidir; kendi ortak kuralı olmayan path'lere gelen bu türdeki bütün gövdeler engellenir. Gövde kabul eden path'lerde bu bölümlerin ortak kuralı ayrıca tanımlanır (Sync with Default WAF Rules).
  • Content-Type göndermeyen gövdeyi bu kutunun yakalamasını beklemek. Kutu türü Content-Type'tan okur; türü bildirilmeyen gövde Raw sekmesinin denetimlerine kalır (Raw sekmesi ne inceler; parse edilemeyen içerik ne olur?).
  • WEB-CLI'da başka bir amaçla add yapıp kutuyu açık bırakmak. add komutunda …BlockAll varsayılanı açıktır; gövde kabul eden bir path'e JSON, Xml ya da Form parçası eklenirken --jsonBlockAll false gibi açıkça kapatılır.
  • Metot kısıtıyla karıştırmak. Gövdeyi değil metodu kısıtlamak için Allowed Methods kullanılır (Bir sayfaya yalnızca belirli HTTP metotlarına izin verebilir miyim (Allowed Methods)?).

Dokümantasyonda nasıl yapılır

İlgili sorular