解决WordPress REST API 403错误的ModSecurity规则排除指南

问题背景

在使用ModSecurity核心规则集(CRS)保护WordPress网站时，许多管理员会遇到REST API返回403 Forbidden错误的问题。这种情况通常发生在WordPress站点健康检查页面，提示"REST API encountered an unexpected result"错误，影响WordPress核心功能如区块编辑器的正常工作。

错误原因分析

通过分析ModSecurity的审计日志，可以发现403错误主要由以下几个规则触发：

1. Unix命令注入检测：规则ID 932220和932236会检测Cookie中的特殊字符序列，如"||"和"|||"，这些字符在Unix命令注入中常被使用。而WordPress插件(如sbjs)生成的Cookie中恰好包含这些字符序列。

2. PHP函数名检测：规则ID 933151会检查请求中的PHP函数名，而某些User-Agent字符串可能包含被误判为PHP函数的关键词。

3. 异常分数累积：当多个规则被触发时，累积的异常分数超过阈值(默认5分)，导致请求被阻断。

解决方案

基本规则排除配置

针对上述问题，可以通过添加以下规则到REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf文件来解决：

SecRule REQUEST_FILENAME "@unconditionalMatch" \
    "id:1113,\
    phase:1,\
    pass,\
    t:none,\
    nolog,\
    ctl:ruleRemoveTargetById=933151;REQUEST_COOKIES_NAMES,\
    ctl:ruleRemoveTargetById=932220;REQUEST_COOKIES:sbjs_current,\
    ctl:ruleRemoveTargetById=932236;REQUEST_COOKIES:sbjs_current,\
    ctl:ruleRemoveTargetById=932220;REQUEST_COOKIES:sbjs_first,\
    ctl:ruleRemoveTargetById=932236;REQUEST_COOKIES:sbjs_first"

针对PHPSESSID的特殊处理

在某些情况下，PHPSESSID也可能触发规则932236。此时需要扩展上述规则：

SecRule REQUEST_FILENAME "@unconditionalMatch" \
    "id:1113,\
    phase:1,\
    pass,\
    t:none,\
    nolog,\
    ctl:ruleRemoveTargetById=933151;REQUEST_COOKIES_NAMES,\
    ctl:ruleRemoveTargetById=932220;REQUEST_COOKIES:sbjs_current,\
    ctl:ruleRemoveTargetById=932236;REQUEST_COOKIES:sbjs_current,\
    ctl:ruleRemoveTargetById=932220;REQUEST_COOKIES:sbjs_first,\
    ctl:ruleRemoveTargetById=932236;REQUEST_COOKIES:sbjs_first,\
    ctl:ruleRemoveTargetById=932236;REQUEST_COOKIES:PHPSESSID"

规则解释

1. REQUEST_FILENAME匹配：使用@unconditionalMatch确保规则对所有请求生效。

2. phase:1：在请求处理的早期阶段应用规则。

3. 规则排除：

   • ctl:ruleRemoveTargetById=933151;REQUEST_COOKIES_NAMES：排除对Cookie名称的PHP函数名检测
   • ctl:ruleRemoveTargetById=9322xx;REQUEST_COOKIES:sbjs_xxx：排除对特定Cookie值的命令注入检测
   • ctl:ruleRemoveTargetById=932236;REQUEST_COOKIES:PHPSESSID：排除对PHPSESSID的命令注入检测

4. 其他参数：

   • pass：继续处理后续规则
   • t:none：不进行任何转换
   • nolog：不记录此规则的匹配

实施建议

1. 逐步测试：建议先测试基本规则排除配置，确认问题是否解决后再考虑添加PHPSESSID的排除。

2. 规则验证：每次修改规则后，使用nginx -t测试配置语法是否正确。

3. 最小权限原则：只排除必要的规则和目标，避免过度放宽安全策略。

4. 监控日志：实施排除规则后，应持续监控ModSecurity日志，确保没有引入新的安全问题。

总结

通过合理配置ModSecurity规则排除，可以在保持安全防护的同时解决WordPress REST API的兼容性问题。关键在于准确识别触发阻断的规则和目标，并采用最小化的排除策略。对于WordPress管理员来说，理解这些排除规则的原理和配置方法，有助于在安全性和功能性之间取得平衡。