Snuffleupagus 0.5.1 এর রিলিজ, পিএইচপি অ্যাপ্লিকেশনে দুর্বলতা ব্লক করার জন্য একটি মডিউল

উন্নয়নের এক বছর পর প্রকাশিত প্রকল্প প্রকাশ স্নাফলেউপাগাস 0.5.1, যা পরিবেশের নিরাপত্তা উন্নত করতে PHP7 ইন্টারপ্রেটারের জন্য একটি মডিউল প্রদান করে এবং সাধারণ ত্রুটিগুলিকে ব্লক করে যা PHP অ্যাপ্লিকেশন চালানোর ক্ষেত্রে দুর্বলতার দিকে পরিচালিত করে। মডিউল আপনাকে তৈরি করতে দেয় ভার্চুয়াল প্যাচ দুর্বল অ্যাপ্লিকেশনের সোর্স কোড পরিবর্তন না করে নির্দিষ্ট সমস্যা দূর করতে, যা গণ হোস্টিং সিস্টেমে ব্যবহারের জন্য সুবিধাজনক যেখানে সমস্ত ব্যবহারকারীর অ্যাপ্লিকেশন আপ টু ডেট রাখা অসম্ভব। মডিউলটির ওভারহেড খরচ সর্বনিম্ন বলে অনুমান করা হয়। মডিউলটি C তে লেখা, একটি শেয়ার্ড লাইব্রেরির আকারে সংযুক্ত (php.ini-এ “extension=snuffleupagus.so”) এবং দ্বারা বিতরণ LGPL 3.0 এর অধীনে লাইসেন্সপ্রাপ্ত।

Snuffleupagus একটি নিয়ম সিস্টেম প্রদান করে যা আপনাকে নিরাপত্তা উন্নত করতে মানক টেমপ্লেট ব্যবহার করতে বা ইনপুট ডেটা এবং ফাংশন প্যারামিটার নিয়ন্ত্রণ করতে আপনার নিজস্ব নিয়ম তৈরি করতে দেয়। উদাহরণস্বরূপ, নিয়ম “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” অ্যাপ্লিকেশন পরিবর্তন না করেই আপনাকে সিস্টেম() ফাংশন আর্গুমেন্টে বিশেষ অক্ষরের ব্যবহার সীমিত করতে দেয়। অন্তর্নির্মিত পদ্ধতিগুলি দুর্বলতার ক্লাস ব্লক করার জন্য প্রদান করা হয় যেমন সমস্যা, সম্পর্কিত ডেটা সিরিয়ালাইজেশন সহ, অনিরাপদ পিএইচপি মেইল() ফাংশনের ব্যবহার, এক্সএসএস আক্রমণের সময় কুকির বিষয়বস্তু ফাঁস, এক্সিকিউটেবল কোড সহ ফাইল লোড করার কারণে সমস্যা (উদাহরণস্বরূপ, ফরম্যাটে phar), দরিদ্র মানের র্যান্ডম সংখ্যা উৎপাদন এবং প্রতিস্থাপন ভুল XML গঠন।

Snuffleupagus দ্বারা প্রদত্ত পিএইচপি নিরাপত্তা বর্ধিতকরণ মোড:

• কুকিজের জন্য স্বয়ংক্রিয়ভাবে "সুরক্ষিত" এবং "একইসাইট" (CSRF সুরক্ষা) পতাকা সক্ষম করুন, এনক্রিপশন ত্রুটি;
• আক্রমণের চিহ্ন এবং অ্যাপ্লিকেশনের আপস শনাক্ত করার জন্য অন্তর্নির্মিত নিয়মগুলির সেট;
• জোরপূর্বক বিশ্বব্যাপী সক্রিয়করণ "যথাযথ" (উদাহরণস্বরূপ, যুক্তি হিসাবে একটি পূর্ণসংখ্যা মান আশা করার সময় একটি স্ট্রিং নির্দিষ্ট করার প্রচেষ্টাকে ব্লক করে) এবং এর বিরুদ্ধে সুরক্ষা টাইপ ম্যানিপুলেশন;
• ডিফল্ট ব্লকিং প্রোটোকল wrappers (উদাহরণস্বরূপ, "ফার://" নিষিদ্ধ করা) তাদের স্পষ্ট হোয়াইটলিস্টিং সহ;
• লিখনযোগ্য ফাইলগুলি সম্পাদনের উপর নিষেধাজ্ঞা;
• eval জন্য কালো এবং সাদা তালিকা;
• ব্যবহার করার সময় TLS শংসাপত্র চেকিং সক্ষম করার জন্য প্রয়োজনীয়
  কার্ল;
• ক্রমিক বস্তুতে HMAC যোগ করা নিশ্চিত করার জন্য যে ডিসিরিয়ালাইজেশন মূল অ্যাপ্লিকেশন দ্বারা সংরক্ষিত ডেটা পুনরুদ্ধার করে;
• লগিং মোড অনুরোধ;
• XML নথিতে লিঙ্কের মাধ্যমে libxml-এ বহিরাগত ফাইল লোড করা ব্লক করা;
• আপলোড করা ফাইলগুলি পরীক্ষা এবং স্ক্যান করতে বাহ্যিক হ্যান্ডলার (upload_validation) সংযোগ করার ক্ষমতা;

মধ্যে পরিবর্তন নতুন রিলিজে: PHP 7.4-এর জন্য উন্নত সমর্থন এবং বর্তমানে বিকাশে থাকা PHP 8 শাখার সাথে সামঞ্জস্য প্রয়োগ করা হয়েছে। syslog-এর মাধ্যমে ইভেন্ট লগ করার ক্ষমতা যোগ করা হয়েছে (sp.log_media নির্দেশিকা অন্তর্ভুক্তির জন্য প্রস্তাব করা হয়েছে, যা php বা syslog মান নিতে পারে)। সম্প্রতি চিহ্নিত দুর্বলতা এবং ওয়েব অ্যাপ্লিকেশনগুলির বিরুদ্ধে আক্রমণের কৌশলগুলির জন্য নতুন নিয়ম অন্তর্ভুক্ত করার জন্য নিয়মগুলির ডিফল্ট সেট আপডেট করা হয়েছে৷ ম্যাকওএসের জন্য উন্নত সমর্থন এবং গিটল্যাবের উপর ভিত্তি করে ক্রমাগত ইন্টিগ্রেশন প্ল্যাটফর্মের বর্ধিত ব্যবহার।

উত্স: opennet.ru