Fail2Ban für PHP IDS

[yel]

Hallo

Ich hatte die letzte Tage folgende und ähnliche Fehlermeldungen unter Monitor\ISPConfig Logs:

Ich habe mit den Zeiten im /var/log/apache2/other_vhosts_access.log herausgefunden, dass es eine IP aus Taiwan war. Gibt es eine Möglichkeit die "PHP IDS" Fehler auch mittels fail2ban zu sperren? Ich habe die Meldung nur in der dbispconfig.sys_log-DB aber in keiner log-Datei gefunden.

2026-03-08 05:39

Error

[INTERFACE]: PHP IDS Alert.Total impact: 100<br/> Affected tags: sqli, id, lfi, xss, csrf, rfe<br/> <br/> Variable: POST.1_$ACTION_ID_vercel | Value: &quot;&quot;<br/> Impact: 6 | Tags: sqli, id, lfi<br/> Description: Detects classic SQL injection probings 1/2 | Tags: sqli, id, lfi | ID 42<br/> <br/> Variable: POST.0 | Value: {&quot;then&quot;: &quot;$1:__proto__:then&quot;, &quot;status&quot;: &quot;resolved_model&quot;, &quot;reason&quot;: -1, &quot;value&quot;: &quot;{&quot;then&quot;:&quot;$B1337&quot;}&quot;, &quot;_response&quot;: {&quot;_prefix&quot;: &quot;var res=process.mainModule.require(&#039;child_process&#039.execSync(&#039;echo $((41*271)) | base64 -w 0&#039.toString().trim();;throw Object.assign(new Error(&#039;NEXT_REDIRECT&#039,{digest: `NEXT_REDIRECT;push;/login?a=${res};307;`});&quot;, &quot;_chunks&quot;: &quot;$Q2&quot;, &quot;_formData&quot;: {&quot;get&quot;: &quot;$1:constructor:constructor&quot;}}}<br/> Impact: 94 | Tags: xss, csrf, id, rfe, sqli, lfi<br/> Description: Detects hash-contained xss payload attacks, setter usage and property overloading | Tags: xss, csrf | ID 5<br/> Description: Detects JavaScript with(), ternary operators and XML predicate attacks | Tags: xss, csrf | ID 7<br/> Description: Detects self-executing JavaScript functions | Tags: xss, csrf | ID 8<br/> Description: Detects possible includes and typical script methods | Tags: xss, csrf, id, rfe | ID 16<br/> Description: Detects JavaScript object properties and methods | Tags: xss, csrf, id, rfe | ID 17<br/> Description: Detects JavaScript array properties and methods | Tags: xss, csrf, id, rfe | ID 18<br/> Description: Detects JavaScript language constructs | Tags: xss, csrf, id, rfe | ID 20<br/> Description: Detects obfuscated JavaScript script injections | Tags: xss, csrf | ID 25<br/> Description: Detects MySQL comments, conditions and ch(a)r injections | Tags: sqli, id, lfi | ID 40<br/> Description: Detects classic SQL injection probings 2/2 | Tags: sqli, id, lfi | ID 43<br/> Description: Detects basic SQL authentication bypass attempts 2/3 | Tags: sqli, id, lfi | ID 45<br/> Description: Detects basic SQL authentication bypass attempts 3/3 | Tags: sqli, id, lfi | ID 46<br/> Description: Detects MySQL comment-/space-obfuscated injections and backtick termination | Tags: sqli, id | ID 57<br/> Description: Detects code injection attempts 2/3 | Tags: id, rfe, lfi | ID 59<br/> Description: Detects code injection attempts 3/3 | Tags: id, rfe, lfi | ID 60<br/> Description: Detects common function declarations and special JS operators | Tags: id, rfe, lfi | ID 62<br/> Description: Detects unknown attack vectors based on PHPIDS Centrifuge detection | Tags: xss, csrf, id, rfe, lfi | ID 67<br/> <br/>

 

[w3bservice]

Ich würde nicht alles ISP-Config und den extensions überlassen. auf meinen Servern läuft modsecurity und Fail2ban. deckt so ziemlich alles ab, und ist nicht Domainbezogen

 

[yel]

das will ich ja auch nicht @w3bservice darum ja meine Frage, ob man einstellen könnte, dass diese fehler auch so geloggt werden, dass die UrsprungsIP direkt von fail2ban blockiert werden kann.