Sono passati alcuni anni da quando ho iniziato a trafficare con la modsecurity ...
Semplicemente installando il pacchetto con le regole predefinite fornirai una validazione sufficiente a prevenire qualsiasi (okay, siamo onesti - meglio possiamo sperare che sia il tipo "più") di XSS? La mia ipotesi è no ... e anche se consideriamo solo Type I - Reflected XSS.
E riguardo al set di regole di base ? E 'abbastanza XSS?
In caso contrario, che tipo di regole mancano e che cosa dovrei cercare di aggiungere / personalizzare, magari su una base per pagina? (uggh ...)
Ultima parte della domanda, che dire delle app pesanti per AJAX? In che modo ModSecurity e in particolare il CRS gestiscono le richieste AJAX senza bloccarle? Suppongo che sperando che in realtà riesca ad analizzare AJAX e convalidare ogni parametro separatamente sarebbe troppo molto da sperare ...
Per chiarire, correggendo il codice per rimuovere tutto l'XSS, compresa la convalida dell'input e in particolare la codifica dell'output contestuale, naturalmente è il modo migliore per andare, e davvero l'unica soluzione a lungo termine.
Tuttavia, stavo cercando una "soluzione rapida" temporanea, per far scattare qualcosa sul posto per proteggere l'app per ora , mentre vanno a riparare l'XSS nel codice, e cercare altro .. .