Verhindern der Umgehung der Webanwendungsfirewall (WAF)

Wenn jemand Ihre versteckte Hosting-IP kennt, kann er Ihre Web Application Firewall (WAF) umgehen und versuchen, direkt auf Ihre Website zuzugreifen. Es ist nicht üblich oder einfach, aber für zusätzliche Sicherheit empfehlen wir, nur HTTP-Zugriff über Ihre WAF zuzulassen. Sie können den Zugriff auf Ihre Website einschränken, indem Sie Ihrer .htaccess- Datei eine Einschränkung hinzufügen.

Warnung: Warten Sie, bis Ihre DNS-Änderungen vollständig übernommen wurden, bevor Sie die nachstehenden Anweisungen befolgen. Dies kann bis zu 24 Stunden nach Einrichtung Ihrer WAF dauern.

Zu GoDaddy wechseln Produktseite.
Wählen Sie für Website-Sicherheit und Backups die Option Alle verwalten .
Wählen Sie für die Website, die Sie konfigurieren möchten, unter Firewall die Option Details aus.
Wählen Sie Einstellungen.
Wählen Sie Sicherheit und scrollen Sie nach unten zu Firewall-Umgehung verhindern .
Wählen Sie Ihren Servertyp aus. Bei Apache-Servern fügen Sie den Code Ihrer .htaccess- Datei hinzu. Für NGINX müssen Sie den Code zu Ihrer NGINX-Konfigurationsdatei hinzufügen.

Allgemeine Regeln für die IP-Adresse

Sie können Hacker am besten daran hindern, die Firewall zu umgehen, indem Sie deren Zugriff auf Ihren Webserver beschränken. Im Folgenden finden Sie häufig verwendete Regeln für die IP-Adresse, mit denen Sie den Zugriff auf Ihren Webserver einschränken können.

Apache 2.4

# BEGIN Umgehung der Website-Firewall < FilesMatch ". * " > IP erforderlich 208.109.0.0/22 IP erforderlich 192.88.134.0/23 IP erforderlich 185.93.228.0/22 IP erforderlich 66.248.200.0/22 IP erforderlich 2a02: fe80 :: / 29 IP erforderlich 173.245.48.0/20 IP erforderlich 103.21.244.0/ 22 IP erforderlich 103.22.200.0/22 IP erforderlich 103.31.4.0/22 IP erforderlich 141.101.64.0/18 IP erforderlich 108.162.192.0/18 IP erforderlich 190.93.240.0/20 IP erforderlich 188.114.96.0/20 IP erforderlich 197.234.240.0/22 IP erforderlich 198.41.128.0/17 IP erforderlich 162.158.0.0/15 IP erforderlich 104.16.0.0/13 IP erforderlich 104.24.0.0/14 IP erforderlich 172.64.0.0/13 IP erforderlich 131.0.72.0/22 IP erforderlich 2400: cb00 :: / 32 IP erforderlich 2606: 4700 :: / 32 IP erforderlich 2803: f800 :: / 32 IP erforderlich 2405: b500 :: / 32 IP erforderlich 2405: 8100 :: / 32 IP erforderlich 2a06: 98c0 :: / 29 IP erforderlich 2c0f: f248 :: / 32 </ FilesMatch & gt; # ENDE Umgehung der Website-Firewall

Wenn die zu schützende Website Add-on-Domains oder Subdomains im Dokumentstamm enthält und die Website Apache 2.4 verwendet, verwenden Sie den folgenden Code anstelle der Header-basierten Umgehung.

# BEGIN Umgehung der Website-Firewall < Wenn "& percnt; & # 123; HTTP_HOST & # 125; == & apos; coolexample.com & apos; || & percnt; & # 123; HTTP_HOST & # 125; & ist gleich & ist gleich; & apos; www.coolexample.com & apos; " > IP erforderlich 208.109.0.0/22 IP erforderlich 192.88.134.0/23 IP erforderlich 185.93.228.0/22 IP erforderlich 2a02: fe80 :: / 29 IP erforderlich 66.248.200.0/22 IP erforderlich 173.245.48.0/20 IP erforderlich 103.21.244.0/ 22 IP erforderlich 103.22.200.0/22 IP erforderlich 103.31.4.0/22 IP erforderlich 141.101.64.0/18 IP erforderlich 108.162.192.0/18 IP erforderlich 190.93.240.0/20 IP erforderlich 188.114.96.0/20 IP erforderlich 197.234.240.0/22 IP erforderlich 198.41.128.0/17 IP erforderlich 162.158.0.0/15 IP erforderlich 104.16.0.0/13 IP erforderlich 104.24.0.0/14 IP erforderlich 172.64.0.0/13 IP erforderlich 131.0.72.0/22 IP erforderlich 2400: cb00 :: / 32 IP erforderlich 2606: 4700 :: / 32 IP erforderlich 2803: f800 :: / 32 IP erforderlich 2405: b500 :: / 32 IP erforderlich 2405: 8100 :: / 32 IP erforderlich 2a06: 98c0 :: / 29 IP erforderlich 2c0f: f248 :: / 32 </ Wenn & gt; # ENDE Umgehung der Website-Firewall

Apache 2.2

# BEGIN Umgehung der Website-Firewall < FilesMatch ". * " > Bestellung verweigern, zulassen von allen zulassen ab 208.109.0.0/22 zulassen ab 192.88.134.0/23 zulassen ab 185.93.228.0/22 zulassen ab 2a02: fe80 :: / 29 zulassen ab 66.248.200.0/22 zulassen ab 173.245.48.0/ 20 Zulassen ab 103.21.244.0/22 Zulassen ab 103.22.200.0/22 Zulassen ab 103.31.4.0/22 Zulassen ab 141.101.64.0/18 Zulassen ab 108.162.192.0/18 Zulassen ab 190.93.240.0/20 Zulassen ab 188.114.96.0/20 Zulassen ab 197.234.240.0/22 Zulassen ab 198.41.128.0/17 Zulassen ab 162.158.0.0/15 Zulassen ab 104.16.0.0/13 Zulassen ab 104.24.0.0/14 Zulassen ab 172.64.0.0/13 Zulassen ab 131.0.72.0/22 Zulassen from 2400: cb00 :: / 32 Allow from 2606: 4700 :: / 32 Allow from 2803: f800 :: / 32 Allow from 2405: b500 :: / 32 Allow from 2405: 8100 :: / 32 Allow from 2a06: 98c0: : / 29 Zulassen von 2c0f: f248 :: / 32 </ FilesMatch & gt; # ENDE Umgehung der Website-Firewall

Wenn der Standardcode zur Verhinderung der Umgehung nicht funktioniert, können Sie den folgenden Code ausprobieren, für den der Sucuri WAF-Header erforderlich ist.

# BEGIN Website-Firewall Umgehung verhindern RewriteEngine On RewriteCond & percnt; & # 123; HTTP: X-SUCURI-CLIENTIP & # 125; & # 94; & # 36; RewriteCond & percnt; & # 123; HTTP: X-SUCURI-COUNTRY & # 125; & # 94; & # 36; RewriteRule & # 94; (. *) & # 36; - & lsqb; F, L & rsqb; ErrorDocument 403 Forbidden # END Prävention der Website-Firewall-Umgehung

Der alternative Code prüft, ob die Header X-SUCURI-CLIENTIP und X-SUCURI-COUNTRY vorhanden sind, und gibt andernfalls den Statuscode 403 Forbidden response zurück.

Verwaltetes Wordpress

Wenn Ihr Konto als WPaaS-Hosting angezeigt wird, übergibt der HAproxy- oder openresty-Server möglicherweise nicht die richtigen IP-Adressen in der Anforderung. Verwenden Sie den folgenden Code, um das Problem zu beheben.

# BEGIN Prävention der Website-Firewall-Umgehung RewriteEngine On RewriteCond%{HTTP_HOST} ^ (www.)? coolexample.com $ RewriteCond %{HTTP:X-SUCURI-CLIENTIP} ^ $ RewriteCond %{HTTP:X-SUCURI-COUNTRY} ^ $ RewriteRule ^ (. *) $ - [F, L] ErrorDocument 403 Forbidden # END Website-Firewall-Bypass-Prävention

Achten Sie darauf, coolexample.com durch den tatsächlichen Domain-Namen zu ersetzen. Löschen Sie auch unbedingt den Managed WordPress-Lack-Cache, bevor Sie die Firewall-Bypass-Prävention testen, da möglicherweise trotzdem eine 200 OK zwischengespeicherte Antwort angezeigt wird. Dies kann über das WordPress Admin-Dashboard oder durch Zugriff auf SSH (Secure Shell) über WP-CLI, das Befehlszeilentool für die Verwaltung von WordPress-Websites, erfolgen.

Weitere Informationen

Wenn Sie IIS verwenden, sind die Anweisungen je nach Version unterschiedlich - IIS 7 und IIS 8 . Sie können auch versuchen, die Datei web.config zu verwenden, um die Umgehung zu verhindern.
Erhalten Sie nach dem Hinzufügen der Regeln für die Umgehung einen Fehlercode 500? Entfernen Sie die Zeile für IPv6 aus dem Umgehungsschutzcode und prüfen Sie, ob der Fehler behoben ist. Es kann einige Minuten dauern, bis der Fehler 500 behoben ist, nachdem diese Zeile entfernt wurde.