Вопрос? Какая настройка waf cloudflare у вас?

Какие у кого настройки фаервола?
Наткнулся на один сайт

Screenshot
Что за правила стоят, кто то делал такие?
GET запрос без браузера выдает защиту клоудфаера, открываю в браузере Screenshot защиты нет.
Всю ночь сидел перебирал правила, находил варианты, но они все не те.

 

1080p

потом



Проблемы?

 

Гавно сайт, больше ни ногой)))))

 

evgfreeman мне сами правила интересны, а не обход

 

1080p проблема в самих некоторых браузерах.
Например, TLS 1.3 не поддерживает функцию и отдает 403 на post/get.
Как будто недоделанная. В сертификате у них типа нового уровня.
This server supports TLS 1.3. У них это!

 

GET / POST


Браузер

 

То есть тот сайт поддерживает только 1.3 TLS? Поэтому зеннопостер не может получить гет запрос(выдает заглушку клоудфаера)?

 

1080p там баг в ЗП, нужно обновить на свежую версию или переходить на альтернативный HTTP
В некоторых софтах бывает нет поддержки TLS 1.3 и опаздывают апгрейдить.

Да тот сайт поддерживает только 1.3.

 

хм.. пользователей разве не теряет с такой настройкой

 

Глянул аналитику, полно http1.1 и tls 1.2 кто использует

 

1080p согласен насчет потерей юзерей, но это для старых браузеров вроде не подходит.

 

1080p согласен насчет потерей юзерей, но это для старых браузеров вроде не подходит.

 

Я с первого сообщения понял

 

1080p упс это не я, а глюк скрипта самого форума

 

Наткнулся на такие правила


1. Плохой Бот - Блок действий (открыт)
Блокирует популярный плохой пользовательский агент
Блокирует соединения по порту (обычно это делают только боты)
Блокирует устаревшие версии HTTP (1.0)
Блокирует опасные угрозы, помеченные cloudflare
Блокирует запросы на неверный метод
Блокирует подозрительные X-Forwarded-For
Блокирует запросы из сети Tor
Блокирует список ASN наиболее известных сайтов для очистки прокси-серверов
Блокирует нестандартные файлы cookie

Code:

(http.request.version in {"HTTP/1.0"} and not cf.client.bot) or (http.user_agent eq "") or (http.user_agent eq " ") or (http.user_agent eq "-") or (http.user_agent eq "'") or (http.user_agent contains "'XOR(") or (http.user_agent contains "ALittle") or (http.user_agent contains "got (") or (http.user_agent contains "quic-go-HTTP") or (http.user_agent contains "Go-http-client") or (http.user_agent contains "fasthttp") or (http.user_agent contains "python") or (http.user_agent contains "java") or (http.user_agent contains "PHP") or (http.user_agent contains "Nmap") or (http.user_agent contains "scrapy" and not cf.client.bot) or (http.user_agent contains "bot" and not cf.client.bot) or (http.user_agent contains "spider" and not cf.client.bot) or (http.user_agent contains "crawl" and not cf.client.bot) or (http.user_agent contains "bot" and not http.user_agent contains "bing" and not http.user_agent contains "google" and not http.user_agent contains "yandex" and not http.user_agent contains "duckduckgo" and not http.user_agent contains "facebook" and not http.user_agent contains "linkedIn" and not http.user_agent contains "twitter" and not http.user_agent contains "yahoo" and not cf.client.bot) or (cf.threat_score ge 20 and not cf.client.bot) or (http.request.method in {"PURGE" "PUT" "OPTIONS" "DELETE" "PATCH"}) or (http.x_forwarded_for contains "192.0.") or (http.x_forwarded_for contains ".0.0") or (ip.geoip.country in {"T1" "XX"}) or (http.user_agent contains "lient" and http.user_agent contains "ttp") or (http.user_agent contains "libweb") or (http.user_agent contains "libwww") or (http.user_agent contains "wrk") or (http.user_agent contains "hey/") or (ip.geoip.asnum in {14061 60631 28438 60592 30823 4134 32505 27715 22773 131090 135905 55330 16629 4755 53363 34549 135330 47285 60798 207590 203087 198651 43289 14576 207319 201978 208425 201094 18978 52000 204601 199883 8220 36351 45011 8560 23969 45629 20207 6471 8075 45899 31400 208556 12271 7552 26496 21769 6876 45102 5617 199490 35816 131293 20860 31898 131428 8881 25429 29802 4788 3326 39284 13448 46484 174 577 29286 5056 9009 63949 212708 40788 12989 11351 11426 7029 42652 18403 54538 209 62044 3269 395003 8100 4190 12874 19740 197540 45458 136258 50837 51852 4826 195 49588 57613 34248 197099 29287 29066 30083 9534 42905 35804 45012 7303 25961 61317 5610 35320 262187 263693 20552 266706 49327 47232 32098 28429 3255 28431 14117 18734 24088 263196 41096 52228 8069 398101 28725 132196 61154 58199 6877 265537 32097 62240 3329 6830 133199 12334 270110 22884 54600 213375 206092 41009 213251 36444} and not cf.client.bot) or (http.host contains ":80") or (http.host contains ":443") or (http.cookie contains "cf_use_ob=" and not http.cookie contains "0" and not http.cookie contains "80" and not http.cookie contains "443" and not cf.client.bot)

2. Эксплуатация (Бета-версия) - Блок действий (открытый)
Блокировка запросов с уязвимостями SQL
Блокировка запросов с уязвимостями XSS
Блокируйте популярные уязвимости PHP

Code:

(http.request.uri.query contains ")/*") or (http.request.uri.query contains ")--") or (http.request.uri.query contains "benchmark(") or (http.request.uri.query contains "'0:0:20'") or (http.request.uri.query contains "MD5(") or (http.request.uri.query contains "%20waitfor%20delay%20") or (http.request.uri.query contains "%22") or (http.request.uri.query contains "%20/*") or (http.request.uri.query contains "%20--") or (http.request.uri.query contains "%20%23") or (http.request.uri.query contains ")%23") or (http.request.uri.query contains "script>") or (http.request.uri.query contains "%40") or (http.request.uri.query contains "%00") or (http.request.uri.query contains "<?php") or (http.request.uri.query contains "0x00") or (http.request.uri.query contains "0x08") or (http.request.uri.query contains "0x09") or (http.request.uri.query contains "0x0a") or (http.request.uri.query contains "0x0d") or (http.request.uri.query contains "0x1a") or (http.request.uri.query contains "0x22") or (http.request.uri.query contains "0x25") or (http.request.uri.query contains "0x27") or (http.request.uri.query contains "0x5c") or (http.request.uri.query contains "0x5f") or (http.request.uri.query contains "SELECT") or (http.request.uri.query contains "concat") or (http.request.uri.query contains "union") or (http.request.uri.query contains "0x50") or (http.request.uri.query contains "DROP") or (http.request.uri.query contains "WHERE") or (http.request.uri.query contains "ONION") or (http.request.uri.query contains "0x3c62723e3c62723e3c62723e") or (http.request.uri.query contains "0x3c696d67207372633d22") or (http.request.uri.query contains "OR") or (http.request.uri.query contains "0x3e") or (http.request.uri.query contains "<img") or (http.request.uri.query contains "<image") or (http.request.uri.query contains "document.cookie") or (http.request.uri.query contains "onerror()") or (http.request.uri.query contains "alert(") or (http.request.uri.query contains "window.") or (http.request.uri.query contains "String.fromCharCode(") or (http.request.uri.query contains "javascript:") or (http.request.uri.query contains "onmouseover=") or (http.request.uri.query contains "<BODY onload") or (http.request.uri.query contains "<style") or (http.request.uri.query contains "svg onload")

3. Проверка угрозы - Вызов действия (открытый)
Проверка на наличие устаревших версий HTTP (1.1, 1.2)
Проверка стран, которые пропускают много вредоносного трафика
, Проверка опасных угроз, отмеченных cloudflare
Проверка на наличие небезопасных запросов (не SSL-запросов)
Проверка запросов неизвестного происхождения (без реферера)

Code:

(http.request.version in {"HTTP/1.1" "HTTP/1.2"} and not http.request.version in {"HTTP/2" "HTTP/3" "SPDY/3.1"} and not ip.geoip.asnum in {477764 13238 15169 8075 47541 32934} and not cf.client.bot) or (cf.threat_score ge 10 and not cf.client.bot) or (not ssl) or (ip.geoip.continent in {"AF" "AS" "AN" "EU" "NA" "OC" "SA"} and not ip.geoip.country in {"RU" "MD" "BY" "UA" "GB" "US" "FR" "ES" "IT" "CA" "DE" "SE" "FI" "BE" "NL"} and not ip.geoip.asnum in {477764 13238 15169 8075 47541 32934} and not cf.client.bot) or (http.referer eq "" and not cf.client.bot)

Но включать это что то страшновато.

 

Без серьезных знаний в кибербезе вам туда лезть не стоит. С шансом в 99% что-то сломаете и сами вы эту ошибку обнаружить никогда не сможете: у вас нет ни устройств, ни инструментов для тестирования.
Сам движок DLE достаточно эффективно работает под любыми нагрузками, лично у меня только несколько сайтов без проблем работали под миллионным ддосом.
Те правила, что вы написали выше, по сути и так уже задействованы в стандартных конфигах PHP и NGINX и идут из коробки по умолчанию включенными.
Если вы своевременно обновляете софт на железе, то 99% проблем вас уже обходят стороной.

 

Не уловил смысл

 

Смысл в том, что если у вас нет опыта и знаний в кибербезопасности, то не стоит там что-то настраивать.

 

я не про себя, а про тебя