ከአንድ አመት እድገት በኋላ የፕሮጀክት መለቀቅ የአካባቢን ደህንነት ለማሻሻል እና የተለመዱ ስህተቶችን ለማገድ PHP7 አስተርጓሚ ሞጁል የሚያቀርብ ሲሆን ይህም ፒኤችፒ መተግበሪያዎችን በማሄድ ላይ ወደ ተጋላጭነት ያመራል። ሞጁሉ እንዲፈጥሩም ይፈቅድልዎታል ሁሉንም የተጠቃሚ አፕሊኬሽኖች ወቅታዊ ለማድረግ በማይቻልበት የጅምላ ማስተናገጃ ስርዓቶች ውስጥ ለመጠቀም ምቹ የሆነውን የተጋላጭ መተግበሪያ ምንጭ ኮድ ሳይቀይሩ የተወሰኑ ችግሮችን ለማስወገድ። የሞጁሉ ከፍተኛ ወጪዎች ዝቅተኛ እንደሆኑ ይገመታል. ሞጁሉ በ C ነው የተፃፈው፣ በጋራ ቤተ-መጽሐፍት መልክ የተገናኘ ("extension=snuffleupagus.so" በ php.ini ውስጥ) እና በLGPL 3.0 ፍቃድ የተሰጠው።
Snuffleupagus ደህንነትን ለማሻሻል መደበኛ አብነቶችን ለመጠቀም ወይም የግቤት ውሂብን እና የተግባር መለኪያዎችን ለመቆጣጠር የራስዎን ህጎች እንዲፈጥሩ የሚያስችልዎ የደንብ ስርዓት ያቀርባል። ለምሳሌ, ደንብ "sp.disable_function.function ("ስርዓት").param ("ትእዛዝ").value_r ("[$|; & `\\n]") drop ();" አፕሊኬሽኑን ሳይቀይሩ በስርዓት() ተግባር ነጋሪ እሴቶች ውስጥ ልዩ ቁምፊዎችን መጠቀም እንዲገድቡ ያስችልዎታል። እንደ ጉዳዮች ያሉ የተጋላጭነት ክፍሎችን ለማገድ አብሮ የተሰሩ ዘዴዎች ቀርበዋል ፣ በመረጃ ተከታታይነት ፣ የPHP ሜይል() ተግባርን መጠቀም፣ በXSS ጥቃቶች ወቅት የኩኪ ይዘቶች መፍሰስ፣ ፋይሎችን በሚተገበር ኮድ በመጫን ምክንያት ችግሮች (ለምሳሌ ፣ በቅርጸት) ), ደካማ ጥራት ያለው የዘፈቀደ ቁጥር ማመንጨት እና የተሳሳተ የኤክስኤምኤል ግንባታዎች።
በSnuffleupagus የቀረቡ የPHP ደህንነት ማሻሻያ ሁነታዎች፡-
- ለኩኪዎች "ደህንነቱ የተጠበቀ" እና "ሳምስቴት" (CSRF ጥበቃ) ባንዲራዎችን በራስ-ሰር አንቃ፣ ኩኪ;
- የጥቃቶችን እና የመተግበሪያዎችን ስምምነትን ለመለየት አብሮ የተሰራ የሕጎች ስብስብ;
- የግዳጅ ዓለም አቀፍ ማግበር ""(ለምሳሌ የኢንቲጀር ዋጋ እንደ ነጋሪ እሴት ሲጠብቅ ሕብረቁምፊን የመግለጽ ሙከራን ይከለክላል) እና ከለላ ;
- በነባሪ ማገድ (ለምሳሌ "phar://"ን መከልከል) በግልፅ የተፈቀደላቸው ዝርዝር ውስጥ;
- ሊፃፉ የሚችሉ ፋይሎችን መፈጸምን መከልከል;
- ጥቁር እና ነጭ ዝርዝሮች ለኤቫል;
- ሲጠቀሙ የTLS የምስክር ወረቀት ማረጋገጥን ለማንቃት ያስፈልጋል
ማጠፍ; - ዲሴሪያላይዜሽን በዋናው መተግበሪያ የተከማቸ መረጃን ሰርስሮ መውጣቱን ለማረጋገጥ HMACን ወደ ተከታታይ ነገሮች ማከል።
- የመግቢያ ሁነታን ይጠይቁ;
- በ libxml ውስጥ የውጭ ፋይሎችን በኤክስኤምኤል ሰነዶች ውስጥ ባሉ አገናኞች መጫንን ማገድ;
- የተጫኑ ፋይሎችን ለመፈተሽ እና ለመፈተሽ የውጭ ተቆጣጣሪዎችን የማገናኘት ችሎታ (አፕሎድ_ቫሊዲሽን);
በ በአዲሱ እትም፡ ለPHP 7.4 የተሻሻለ ድጋፍ እና በአሁኑ ጊዜ በሂደት ላይ ካለው የPHP 8 ቅርንጫፍ ጋር ተኳሃኝነትን ተግባራዊ አድርጓል።በ syslog በኩል ክስተቶችን የመመዝገብ ችሎታ ታክሏል (የ sp.log_media መመሪያው ለማካተት የታቀደ ነው፣ ይህም php ወይም syslog values ሊወስድ ይችላል)። ነባሪው የሕጎች ስብስብ አዲስ ደንቦችን ለማካተት ተዘምኗል በቅርብ ጊዜ ለታወቁ ተጋላጭነቶች እና በድር መተግበሪያዎች ላይ የጥቃት ቴክኒኮች። ለ macOS የተሻሻለ ድጋፍ እና በ GitLab ላይ የተመሰረተ ቀጣይነት ያለው ውህደት መድረክ አጠቃቀም።
ምንጭ: opennet.ru