Dotaz: ModSecurity a dlhý text

[Peter]

Dobrý deň prajem.

Na server som si pred časom nasadil ModSecurity a teraz mám problém s jedným textarea. Ostatné inputy sú v pohode, keďže tam používatelia zadávajú prevažne len jedno slovo alebo číslo, ale do textarea (poznámka) zadávajú dosť dlhé texty. Všetko je odosielané cez GET. V cca 95% prípadoch to vyhodnotilo ako SQL Injection alebo niečo iné.

Pochopiteľne, že som nechcel vypínať dotyčné kontroly, tak som to vymyslel tak, že pred odoslaním formuláru pomocou js "zakódujem" ten textarea pomocou base64 (samozrejme upravené aby to bolo url friendly) a pred vložením do db (samozrejme s potrebnými kontrolami) to rozkódujem pomocou php. Problém je ale ten, že cca v jednom z tridsiatich prípadoch dostanem do databázy len haky-baky a to doslova. Proste niečo zblbne pri tom procese encode/decode a ja netuším čo, lebo to nedokážem zreprodukovať aj keď mi používateľ povie úplne presne čo napísal.

Preto moja otázka - je nejaká technika pomocou ktorej bez problému prenesiem dlhý text cez ModSecurity?

Vopred veľmi pekne ďakujem za odpovede.

Odpovědi

[chrono]

Predpokladám, že problém nastane, keď sa v tom base64 reťazci objaví znak + alebo /.

PS: Údaje, ktoré niečo menia, by sa mali posielať pomocou POST a nie GET.

[Peter]

Povedal som, že base64 je upravené pre potreby url, teda znaky +/= sú zamenené za -_. a naopak.

POST vs. GET má s týmto problémom niečo spoločné? Normálne sa pýtam. Ďakujem za odpoveď.

[Šangala]

Kdysi jsem se držel pravidla, že přes GET max 256 znaků celkem (nikdy, ani v dnešní době bych nešel přes 2048) a jestli se nepletu tak Apache má default max 8190 a třeba IExplorer maximálně 2083, FF snad 32K atd…

[Šangala]

Oprava linku na apache LimitRequestLine.

[Šangala]

Proste niečo zblbne pri tom procese encode/decode a ja netuším čo, lebo to nedokážem zreprodukovať aj keď mi používateľ povie úplne presne čo napísal.

Řekl bych: „protože by jsi musel být na stejném místě, za stejnou proxinou, ze stejným prohlížečem a ze stejným chybujícím počítačem“ - změň to na POST a máš pokoj, GET ja na ovládání, POST na data.