[Apache/PHP/cPanel] 403 Forbidden als ik "width: 0px" POST

[drm]

Ik weet niet helemaal zeker of ik hiervoor in het goeie forum zit, maar da's ook lastig als je niet goed weet wat er aan de hand is ...

Het probleem is eenvoudig te reproduceren:
Ga naar http://lyservices.com/form.php
Vul in: "width: 0px" in het formpje
Submit het form.

Je krijgt dan een 403 Forbidden. Blijkbaar is er een of andere php plugin of apache module of weet ik veel die spam filtert ofzo, waardoor deze POST content niet toegestaan wordt. Andere content wordt wel gewoon doorgelaten. Misschien treedt de 403 bij nog wel meer data op, maar ik heb het na heel lang zoeken tot dit kunnen reduceren.

Herkent iemand dit? Ik probeer al een tijdje in contact te komen met de hosters van de server, maar er zit een contactpersoon tussen die er al helemaal geen kaas van heeft gegeten (die stelde serieus voor: "probeer het anders eens in het Nederlands" ).

Het systeem draait dus op een met cPanel geconfigureerde LAMP doos, vrij oude PHP versie, de PHP info staat hier: http://www.lyservices.com/inf.php. Ik heb geen superuser privileges, anders was ik zelf al verder gaan zoeken, maar ik ben heel erg benieuwd of dit een belletje doet rinkelen bij iemand.

[Joen]

Lijkt er op dat alles kleiner dan 10px wordt geweigerd bij zowel "width: 0px;" als "height: 0px;". Dus "height: 9px;" levert het zelfde probleem op als ik het uitprobeer.
Lijkt op een soort anti-XSS beveiliging. Ik gok dat het een server-instelling betreft.

[deadinspace]

Super effectief filter, "width: 0;" slikt hij wel gewoon

Maar dit is inderdaad waarschijnlijk een of ander lam "security" filter. Zotezien in Apache, niet in PHP:

% wget -nv --post-data='data=width: 0px' http://lyservices.com/whatever
http://lyservices.com/whatever:
2014-02-16 17:16:58 ERROR 403: Forbidden.

Dat wordt inderdaad zeuren bij je hoster en/of een andere hoster zoeken.

Je hebt geen root access, maar heb je uberhaupt wel shell access?

[drm]

deadinspace:
Super effectief filter, "width: 0;" slikt hij wel gewoon

Ja, idd. Sowieso nogal bot, zo'n filter. Ik vermoed dat het overigens eerder een spam dan een xss beveiliging is.

Maar dit is inderdaad waarschijnlijk een of ander lam "security" filter. Zotezien in Apache, niet in PHP:

% wget -nv --post-data='data=width: 0px' http://lyservices.com/whatever
http://lyservices.com/whatever:
2014-02-16 17:16:58 ERROR 403: Forbidden.

Idd, good thinking. Het is ook server wide en geen instelling in de virtual host of per directory:

wget -nv --post-data='data=width: 0px' http://206.212.253.125/whatever
2014-02-16 18:01:34 ERROR 403: Forbidden.

Dat wordt inderdaad zeuren bij je hoster en/of een andere hoster zoeken.

Jup...

Je hebt geen root access, maar heb je uberhaupt wel shell access?

Nee, helaas. Ik heb ook al even geprobeerd om de config files van apache op te zoeken met een PHP scriptje, maar dat is ook geen doen. Dus ik wacht nog maar ff af wat de hosters zeggen...

[_JGC_]

Zeer waarschijnlijk mod_security die iets te strak staat afgesteld. Je zou misschien via .htaccess het een en ander kunnen proberen:
http://stackoverflow.com/...security-in-htaccess-file

Of dat werkt hangt even af van wat je hoster toestaat vanuit .htaccess.

[Thc_Nbl]

maar mij beter is om even te vragen welke rule gebruikt waar deze op strand en dat ID gewoon even uitzetten, dan lijkt mij wat veiliger dan heel mod-security uitzetten.

kan met b.v.

<LocationMatch .*>
<IfModule mod_security2.c>
SecRuleRemoveById 960024
</IfModule>
</LocationMatch>

en location match kan een file/directory e.d. zijn.

staat er niets extra's in je error logs dan?

misschien mag wget gewoon iet gebruikt worden op die machine, dat sta ik op mijn servers b.v. ook niet toe.

[ Voor 58% gewijzigd door Thc_Nbl op 21-02-2014 12:06 ]

[deadinspace]

Thc_Nbl schreef op vrijdag 21 februari 2014 @ 12:01:
misschien mag wget gewoon iet gebruikt worden op die machine

Dat zie je wel eens ja, maar dat is hier niet het geval:

% wget -nv --post-data='hoi' http://lyservices.com/form.php
2014-02-21 13:27:08 URL:http://lyservices.com/form.php [1553/1553] -> "form.php" [1]

dat sta ik op mijn servers b.v. ook niet toe.

Waarom? Hier, mijn pagina publiek op het hele internet! Maar o wee als je het met wget wil bekijken!

[drm]

deadinspace:
Dat zie je wel eens ja, maar dat is hier niet het geval:

% wget -nv --post-data='hoi' http://lyservices.com/form.php
2014-02-21 13:27:08 URL:http://lyservices.com/form.php [1553/1553] -> "form.php" [1]

Vaak is het dan nog een robots.txt, trouwens, die wget heel netjes respecteert

_JGC_:
Zeer waarschijnlijk mod_security die iets te strak staat afgesteld. Je zou misschien via .htaccess het een en ander kunnen proberen:
http://stackoverflow.com/...security-in-htaccess-file

Of dat werkt hangt even af van wat je hoster toestaat vanuit .htaccess.

Voorlopig lijkt het erop dat dat niet werkt, waarschijnlijk een AllowOverride, maar ik kan misschien via cPanel nog wat proberen. Thanks, hier kom ik vast wel weer een stapje verder mee.

Thc_Nbl:
staat er niets extra's in je error logs dan?

Goed punt, ik schaam me een beetje dat ik dat niet eerst heb gecheckt ... Ik weet niet of ik daar wel bij kan, en zonder shell access ben je ook zo onthand maar ik ga het zeker even checken ja.

edit:

---

De logs waar ik bij kan zeggen niets meer dan dat er een 403 is opgetreden

[ Voor 3% gewijzigd door drm op 23-02-2014 14:12 ]