Després d'un any de desenvolupament llançament del projecte , que proporciona un mòdul per a l'intèrpret PHP7 per millorar la seguretat de l'entorn i bloquejar els errors habituals que provoquen vulnerabilitats en l'execució d'aplicacions PHP. El mòdul també permet crear per eliminar problemes específics sense canviar el codi font de l'aplicació vulnerable, la qual cosa és convenient per utilitzar-lo en sistemes d'allotjament massiu on és impossible mantenir actualitzades totes les aplicacions d'usuari. S'estima que els costos generals del mòdul són mínims. El mòdul està escrit en C, està connectat en forma de biblioteca compartida (“extension=snuffleupagus.so” a php.ini) i amb llicència LGPL 3.0.
Snuffleupagus ofereix un sistema de regles que us permet utilitzar plantilles estàndard per millorar la seguretat o crear les vostres pròpies regles per controlar les dades d'entrada i els paràmetres de funció. Per exemple, la regla “sp.disable_function.function(“sistema”).param(“ordre”).value_r(“[$|;&`\\n]”).drop();” permet limitar l'ús de caràcters especials als arguments de la funció system() sense canviar l'aplicació. Es proporcionen mètodes integrats per bloquejar classes de vulnerabilitats, com ara problemes, amb serialització de dades, ús de la funció PHP mail(), filtració de contingut de galetes durant atacs XSS, problemes a causa de la càrrega de fitxers amb codi executable (per exemple, en el format ), generació de nombres aleatoris de mala qualitat i construccions XML incorrectes.
Modes de millora de seguretat PHP proporcionats per Snuffleupagus:
- Activeu automàticament les marques "segures" i "mateix lloc" (protecció CSRF) per a les galetes, galeta;
- Conjunt de regles integrats per identificar rastres d'atacs i compromís d'aplicacions;
- Activació global forçada del "" (per exemple, bloqueja un intent d'especificar una cadena quan s'espera un valor enter com a argument) i protecció contra ;
- Bloqueig per defecte (per exemple, prohibint "phar://") amb la seva llista blanca explícita;
- Prohibició d'execució de fitxers que siguin escrivibles;
- Llistes en blanc i negre per a l'avaluació;
- Necessari per habilitar la comprovació del certificat TLS quan s'utilitza
rínxol; - Afegir HMAC als objectes serialitzats per garantir que la deserialització recuperi les dades emmagatzemades per l'aplicació original;
- Sol·licita el mode de registre;
- Bloquejar la càrrega de fitxers externs a libxml mitjançant enllaços en documents XML;
- Capacitat de connectar controladors externs (upload_validation) per comprovar i escanejar fitxers carregats;
Entre a la nova versió: suport millorat per a PHP 7.4 i compatibilitat implementada amb la branca PHP 8 actualment en desenvolupament. S'ha afegit la possibilitat de registrar esdeveniments mitjançant syslog (es proposa incloure la directiva sp.log_media, que pot prendre valors php o syslog). El conjunt de regles per defecte s'ha actualitzat per incloure regles noves per a vulnerabilitats identificades recentment i tècniques d'atac contra aplicacions web. Suport millorat per a macOS i ús ampliat de la plataforma d'integració contínua basada en GitLab.
Font: opennet.ru