Snuffleupagus প্রকল্প দুর্বলতা ব্লক করার জন্য একটি PHP মডিউল তৈরি করছে

প্রকল্পের সীমানায় স্নুফ্লিউপ্যাগাস বিকাশ করছে PHP7 দোভাষীর সাথে সংযোগ করার জন্য একটি মডিউল, পরিবেশের নিরাপত্তা উন্নত করার জন্য এবং সাধারণ ত্রুটিগুলিকে ব্লক করার জন্য ডিজাইন করা হয়েছে যা PHP অ্যাপ্লিকেশন চালানোর ক্ষেত্রে দুর্বলতার দিকে পরিচালিত করে। মডিউলটি আপনাকে দুর্বল অ্যাপ্লিকেশনের সোর্স কোড পরিবর্তন না করে নির্দিষ্ট সমস্যা সমাধানের জন্য ভার্চুয়াল প্যাচ তৈরি করতে দেয়, যা গণ হোস্টিং সিস্টেমে ব্যবহারের জন্য সুবিধাজনক যেখানে সমস্ত ব্যবহারকারীর অ্যাপ্লিকেশন আপ টু ডেট রাখা অসম্ভব। মডিউলটি C তে লেখা, একটি শেয়ার্ড লাইব্রেরির আকারে সংযুক্ত (php.ini-এ “extension=snuffleupagus.so”) এবং দ্বারা বিতরণ LGPL 3.0 এর অধীনে লাইসেন্সপ্রাপ্ত।

Snuffleupagus একটি নিয়ম সিস্টেম প্রদান করে যা আপনাকে নিরাপত্তা উন্নত করতে মানক টেমপ্লেট ব্যবহার করতে দেয়, অথবা ইনপুট ডেটা এবং ফাংশন প্যারামিটার নিয়ন্ত্রণ করতে আপনার নিজস্ব নিয়ম তৈরি করতে দেয়। উদাহরণস্বরূপ, নিয়ম “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” অ্যাপ্লিকেশন পরিবর্তন না করেই আপনাকে সিস্টেম() ফাংশন আর্গুমেন্টে বিশেষ অক্ষরের ব্যবহার সীমিত করতে দেয়। একইভাবে, আপনি তৈরি করতে পারেন ভার্চুয়াল প্যাচ পরিচিত দুর্বলতা ব্লক করতে।

ডেভেলপারদের দ্বারা পরিচালিত পরীক্ষা দ্বারা বিচার, Snuffleupagus খুব কমই কর্মক্ষমতা হ্রাস. নিজস্ব নিরাপত্তা নিশ্চিত করতে (নিরাপত্তা স্তরের সম্ভাব্য দুর্বলতাগুলি আক্রমণের জন্য একটি অতিরিক্ত ভেক্টর হিসাবে কাজ করতে পারে), প্রকল্পটি বিভিন্ন বিতরণে প্রতিটি কমিটের পুঙ্খানুপুঙ্খ পরীক্ষা ব্যবহার করে, স্ট্যাটিক বিশ্লেষণ সিস্টেম ব্যবহার করে এবং অডিটিং সহজ করার জন্য কোড ফর্ম্যাট এবং নথিভুক্ত করা হয়।

অন্তর্নির্মিত পদ্ধতিগুলি দুর্বলতার ক্লাস ব্লক করার জন্য প্রদান করা হয় যেমন সমস্যা, সম্পর্কিত ডেটা সিরিয়ালাইজেশন সহ, অনিরাপদ পিএইচপি মেইল() ফাংশনের ব্যবহার, এক্সএসএস আক্রমণের সময় কুকির বিষয়বস্তু ফাঁস, এক্সিকিউটেবল কোড সহ ফাইল লোড করার কারণে সমস্যা (উদাহরণস্বরূপ, ফরম্যাটে phar), দরিদ্র মানের র্যান্ডম সংখ্যা উৎপাদন এবং প্রতিস্থাপন ভুল XML গঠন।

পিএইচপি নিরাপত্তা বাড়াতে নিম্নলিখিত মোডগুলি সমর্থিত:

• কুকিজের জন্য স্বয়ংক্রিয়ভাবে "সুরক্ষিত" এবং "একইসাইট" (CSRF সুরক্ষা) পতাকা সক্ষম করুন, এনক্রিপশন ত্রুটি;
• আক্রমণের চিহ্ন এবং অ্যাপ্লিকেশনের আপস শনাক্ত করার জন্য অন্তর্নির্মিত নিয়মগুলির সেট;
• জোরপূর্বক বিশ্বব্যাপী সক্রিয়করণ "যথাযথ" (উদাহরণস্বরূপ, যুক্তি হিসাবে একটি পূর্ণসংখ্যা মান আশা করার সময় একটি স্ট্রিং নির্দিষ্ট করার প্রচেষ্টাকে ব্লক করে) এবং এর বিরুদ্ধে সুরক্ষা টাইপ ম্যানিপুলেশন;
• ডিফল্ট ব্লকিং প্রোটোকল wrappers (উদাহরণস্বরূপ, "ফার://" নিষিদ্ধ করা) তাদের স্পষ্ট হোয়াইটলিস্টিং সহ;
• লিখনযোগ্য ফাইলগুলি সম্পাদনের উপর নিষেধাজ্ঞা;
• eval জন্য কালো এবং সাদা তালিকা;
• ব্যবহার করার সময় TLS শংসাপত্র চেকিং সক্ষম করার জন্য প্রয়োজনীয়
  কার্ল;

• ক্রমিক বস্তুতে HMAC যোগ করা নিশ্চিত করার জন্য যে ডিসিরিয়ালাইজেশন মূল অ্যাপ্লিকেশন দ্বারা সংরক্ষিত ডেটা পুনরুদ্ধার করে;
• লগিং মোড অনুরোধ;
• XML নথিতে লিঙ্কের মাধ্যমে libxml-এ বহিরাগত ফাইল লোড করা ব্লক করা;
• আপলোড করা ফাইলগুলি পরীক্ষা এবং স্ক্যান করতে বাহ্যিক হ্যান্ডলার (upload_validation) সংযোগ করার ক্ষমতা;

একটি বড় ফরাসি হোস্টিং অপারেটরের পরিকাঠামোতে ব্যবহারকারীদের সুরক্ষার জন্য প্রকল্পটি তৈরি এবং ব্যবহার করা হয়েছিল। এটি লক্ষণীয়যে স্নাফলেউপাগাসকে কেবল সংযুক্ত করা এই বছর ড্রুপাল, ওয়ার্ডপ্রেস এবং phpBB-তে চিহ্নিত অনেকগুলি বিপজ্জনক দুর্বলতার বিরুদ্ধে রক্ষা করবে৷ Magento এবং Horde-এর দুর্বলতাগুলি সক্ষম করে ব্লক করা যেতে পারে৷
"sp.readonly_exec.enable()"।

উত্স: opennet.ru