同じ IP からの複数の POST SQL インジェクション

Question

最近、Apache domlog をチェックしたところ、次の攻撃に気付きました。

POST /index.php?page=shop.item_details&cat_id=150&flp=flp_images.tpl&prod_id=9191&vmcchk=1&option=com_vm&Itemid=999999.9)+%2f**%2fuNiOn%2f**%2faLl+%2f**%2fsElEcT+0x393133359144353632312e39,0x393133358134383632322e39...

これは明らかに SQL インジェクションの試みです。これは同じ IP から約 3000 回発生しました。この IP をブラックリストに登録することもできますが、サーバー側でこのようなことが起きないようにするために適用するより良いルールはありますか?

このサーバーはCentOS 6.4を実行しています

Answer 1

コミュニティ、拠点コアルールセットに含まれるものモッドセキュリティ文字列 (select、union、from が含まれているかどうかなど) に基づいて、またはスコアや頻度などに応じて、これらのリクエストを検出してブロックします。設定方法によって異なります。

サンプルファイル:https://github.com/SpiderLabs/owasp-modsecurity-crs/blob/master/base_rules/modsecurity_crs_41_sql_injection_attacks.conf