Uncaught PHP Exception füllt Log

[Dean]

Ein Scriptkiddie / Bot hat versucht, eine Contao-Installation auf Schwachstellen abzuklopfen. Soweit nichts Ungewöhnliches. Nun haben seine Abfragen aber auch das PROD-Log geflutet mit Folgemdem:

[2024-01-05T13:40:13.605970+01:00] request.INFO: Matched route "tl_page.4.root". {"route":"tl_page.4.root","route_parameters":{"_token_check":true,"_controller":"Contao\\FrontendIndex::renderPage","_scope":"frontend","_locale":"de","_format":"html","_canonical_route":"tl_page.4","parameters":"","pageModel":{"Contao\\PageModel":[]},"_route":"tl_page.4.root","_route_object":{"Symfony\\Component\\Routing\\Route":[]}},"request_uri":"https://domain.de/","method":"POST"} []
[2024-01-05T13:40:13.621901+01:00] request.CRITICAL: Uncaught PHP Exception TypeError: "preg_match(): Argument #2 ($subject) must be of type string, array given" at /webseiten/domain.de/contao/vendor/contao/core-bundle/src/Security/Authentication/ContaoLoginAuthenticationListener.php line 51 {"exception":"[object] (TypeError(code: 0): preg_match(): Argument #2 ($subject) must be of type string, array given at /webseiten/domain.de/contao/vendor/contao/core-bundle/src/Security/Authentication/ContaoLoginAuthenticationListener.php:51)"} []

Wäre das jetzt grds. etwas, was man noch abfangen möchte (und ich mache daraus einen Bug Report)? Oder lebt man einfach damit und ignoriert es?

[Spooky]

Da musst du nichts machen in diesem Fall.

[Dean]

Dass ich nichts machen muss, weil kein sicherheitsrelevanter Vorfall vorliegt, ist verständlich. Dennoch brauche ich ja eine Strategie, damit die wirklich wichtigen Meldungen im Log nicht in diesen erzeugten Störgeräuschen untergehen.

Im besten Fall wird die Exception abgefangen, so dass gar kein Logeintrag ensteht. Das war die ursprüngliche Intention meiner Frage, ob es an dieser Stelle sinnvoll wäre, etwas Entsprechendes zu implementieren. Sonst müsste ich ja eine andere Lösung finden (Monolog anders konfigurieren, o.ä.).

[Spooky]

Du könntest den ContaoLoginAuthenticationListener mit

protected function requiresAuthentication(Request $request): bool
{
    return $request->isMethod('POST')
        && $request->request->has('FORM_SUBMIT')
        && is_string($request->request->get('FORM_SUBMIT'))
        && preg_match('/^tl_login(_[0-9]+)?$/', $request->request->get('FORM_SUBMIT'));
} 

patchen.

Öffne dazu auch ein Ticket auf Github, evt. macht es Sinn das generell in Contao einzubauen (wir haben selbiges auch schon in eingen Installationen gesehen - aber nicht weiter beachtet, da das meistens nur kurze Bursts sind).

[Dean]

Referenz: https://github.com/contao/contao/issues/6702