Fragnesia漏洞是一种利用HTTP协议分块传输编码（Chunked Transfer Encoding）缺陷的攻击手法，攻击者通过精心构造畸形的分块数据，可以绕过Web应用防火墙（WAF）或服务器的安全检测，进而实施SQL注入、远程代码执行等攻击。要拦截这类攻击，最有效的方法之一就是在ModSecurity中编写针对性的规则。ModSecurity作为一款开源的Web应用防火墙模块，能够通过自定义规则集深度检测HTTP流量。下面，我将详细介绍如何编写专门拦截Fragnesia漏洞的ModSecurity规则。

理解Fragnesia漏洞的工作原理

Fragnesia的核心在于滥用HTTP/1.1的分块传输编码机制。正常的分块传输中，每个数据块以十六进制大小开头，后跟数据内容。但攻击者可以构造异常的分块，例如发送一个声明长度很大但实际内容很小的块，或者发送畸形的块结束标记，导致WAF解析与后端服务器解析不一致，从而绕过检测。这种不一致性使得传统基于正则表达式的规则往往失效，因此我们需要在ModSecurity中利用其强大的请求体处理能力，在请求被解析前就进行拦截。

ModSecurity规则编写基础：阶段与变量

在编写规则前，必须了解ModSecurity规则的两个关键概念：处理阶段和变量。ModSecurity将请求处理分为多个阶段（如请求头读取、请求体读取等），针对Fragnesia，我们主要关注REQUEST_BODY处理阶段。同时，需要用到诸如REQUEST_BODY、REQUEST_HEADERS等变量来获取请求数据。规则通常使用SecRule指令定义，基本语法为：SecRule VARIABLES OPERATOR ACTIONS。例如，要检查请求体，可以基于REQUEST_BODY变量进行操作。

编写针对分块编码的检测规则

首先，我们需要识别请求是否使用了分块传输编码。这可以通过检查Transfer-Encoding请求头来实现。规则可以设置为：如果检测到分块编码，则进一步深入解析请求体。以下是一条基础规则，用于标记分块传输请求：

SecRule REQUEST_HEADERS:Transfer-Encoding "chunked" \
    "id:1001,\
    phase:1,\
    t:none,\
    msg:'Chunked transfer encoding detected',\
    logdata:'%{MATCHED_VAR}',\
    tag:'attack-fragnesia',\
    pass"

这条规则在阶段1（请求头阶段）运行，当Transfer-Encoding头包含"chunked"时，会记录日志并标记请求，但不会直接拦截（使用"pass"动作）。这为后续深入检测提供了基础。

深入检测畸形分块数据

关键步骤在于检测实际的分块数据是否畸形。由于ModSecurity可以解析请求体，我们可以利用其ctl:forceRequestBodyVariable选项强制将请求体解析到变量中，然后应用正则表达式检测异常模式。例如，检测声明长度与实际长度不匹配的块：

SecRule REQUEST_BODY "@rx (?i)(?:^|\\r?\\n)[0-9a-f]+(?:\\r?\\n[^\\r\\n]*)*\\r?\\n" \
    "id:1002,\
    phase:2,\
    t:none,\
    msg:'Potential Fragnesia attack: chunk size mismatch',\
    logdata:'%{MATCHED_VAR}',\
    tag:'attack-fragnesia',\
    block"

这条规则在阶段2（请求体阶段）运行，使用正则表达式匹配分块模式，但请注意，实际的正则表达式需要更精确，以覆盖各种畸形情况，比如空块、超大尺寸声明等。由于分块解析复杂，建议结合多个规则进行多层次检测。

实施请求体解析与长度验证

为了确保ModSecurity能正确解析分块数据，必须在配置中启用请求体处理。在ModSecurity配置文件中（如modsecurity.conf），添加或检查以下设置：

SecRequestBodyAccess On
SecRequestBodyLimit 134217728
SecRequestBodyNoFilesLimit 131072
SecRule REQUEST_HEADERS:Content-Type "application/x-www-form-urlencoded|multipart/form-data|text/xml|application/xml|application/json" \
    "id:1003,\
    phase:1,\
    t:none,\
    nolog,\
    pass,\
    ctl:forceRequestBodyVariable=On"

这些设置确保ModSecurity能访问请求体，并强制解析常见内容类型。对于分块编码，ModSecurity通常会自动处理，但通过ctl:forceRequestBodyVariable可以增强控制。长度限制（如SecRequestBodyLimit）应根据服务器性能调整，以防止资源耗尽。

组合规则与拦截策略

单独一条规则可能不足以覆盖所有Fragnesia变种，因此建议采用组合策略。例如，可以结合检测分块头、验证块结束标记（如CRLF序列）以及检查总请求体大小是否异常。以下是一个规则示例，用于检测缺失正确结束标记的分块请求：

SecRule REQUEST_BODY "!@rx 0\\r?\\n\\r?\\n$" \
    "id:1004,\
    phase:2,\
    t:none,\
    msg:'Fragnesia attack: missing final chunk',\
    logdata:'%{REQUEST_BODY}',\
    tag:'attack-fragnesia',\
    block"

这条规则检查请求体是否以"0"后跟两个换行结束（标准分块结束标记），如果不是，则可能为畸形攻击。使用"block"动作会直接拦截请求并返回403错误。在实际部署中，应将这类规则与现有规则集（如OWASP CRS）集成，以避免冲突。

测试与优化规则

编写规则后，必须进行严格测试以确保其有效性和低误报率。可以使用工具如curl模拟Fragnesia攻击，例如发送一个声明长度过大但实际内容小的分块请求：

curl -X POST http://yourserver.com/api \
    -H "Transfer-Encoding: chunked" \
    -d "5\\r\\nhello\\r\\n100\\r\\n"

然后检查ModSecurity日志（通常位于/var/log/modsec_audit.log），确认规则是否触发。如果误报，可以调整正则表达式或添加异常条件（如针对特定路径禁用规则）。优化时，考虑性能影响，避免在请求体过大时过度检测。

部署与维护建议

部署这些规则时，建议先在检测模式（SecRuleEngine DetectionOnly）下运行一段时间，观察日志确认无误后再切换为拦截模式（SecRuleEngine On）。同时，定期更新规则以应对新的Fragnesia变种，因为攻击手法可能演化。结合服务器监控工具，如fail2ban，可以将频繁触发规则的IP地址加入黑名单，增强整体安全。最后，记住ModSecurity规则只是防御的一层，还应保持服务器和应用程序的更新，实施纵深安全策略。

总结

拦截Fragnesia漏洞需要深入理解HTTP分块编码和ModSecurity规则机制。通过编写针对性的规则，检测畸形分块数据、验证请求体完整性，可以有效防御此类绕过攻击。关键在于组合多规则、严格测试并持续优化，以确保Web应用的安全性和可用性。如果你在实施过程中遇到问题，参考ModSecurity官方文档和社区讨论，获取更多实战经验。