Snuffleupagus પ્રોજેક્ટ નબળાઈઓને અવરોધિત કરવા માટે PHP મોડ્યુલ વિકસાવી રહ્યું છે

પ્રોજેક્ટની સીમાઓમાં સ્નફ્લુપેગસ વિકાસ કરે છે PHP7 દુભાષિયા સાથે કનેક્ટ કરવા માટેનું મોડ્યુલ, પર્યાવરણની સુરક્ષાને સુધારવા અને PHP એપ્લિકેશન ચલાવવામાં નબળાઈઓ તરફ દોરી જતા સામાન્ય ભૂલોને અવરોધિત કરવા માટે રચાયેલ છે. મોડ્યુલ તમને સંવેદનશીલ એપ્લિકેશનના સોર્સ કોડને બદલ્યા વિના ચોક્કસ સમસ્યાઓને ઠીક કરવા માટે વર્ચ્યુઅલ પેચ બનાવવાની પણ મંજૂરી આપે છે, જે સામૂહિક હોસ્ટિંગ સિસ્ટમ્સમાં ઉપયોગ માટે અનુકૂળ છે જ્યાં તમામ વપરાશકર્તા એપ્લિકેશન્સને અદ્યતન રાખવી અશક્ય છે. મોડ્યુલ C માં લખાયેલું છે, શેર કરેલ લાઇબ્રેરીના રૂપમાં જોડાયેલ છે (php.ini માં “extension=snuffleupagus.so”) અને દ્વારા વિતરિત LGPL 3.0 હેઠળ લાઇસન્સ પ્રાપ્ત.

Snuffleupagus એક નિયમો સિસ્ટમ પ્રદાન કરે છે જે તમને સુરક્ષાને બહેતર બનાવવા માટે માનક નમૂનાઓનો ઉપયોગ કરવાની અથવા ઇનપુટ ડેટા અને કાર્ય પરિમાણોને નિયંત્રિત કરવા માટે તમારા પોતાના નિયમો બનાવવા દે છે. ઉદાહરણ તરીકે, નિયમ “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” તમને એપ્લીકેશન બદલ્યા વિના system() ફંક્શન દલીલોમાં વિશિષ્ટ અક્ષરોના ઉપયોગને મર્યાદિત કરવાની મંજૂરી આપે છે. એ જ રીતે, તમે બનાવી શકો છો વર્ચ્યુઅલ પેચો જાણીતી નબળાઈઓને અવરોધિત કરવા.

વિકાસકર્તાઓ દ્વારા હાથ ધરવામાં આવેલા પરીક્ષણો દ્વારા અભિપ્રાય આપતા, સ્નફલ્યુપગસ ભાગ્યે જ પ્રભાવ ઘટાડે છે. તેની પોતાની સુરક્ષા સુનિશ્ચિત કરવા (સુરક્ષા સ્તરમાં સંભવિત નબળાઈઓ હુમલાઓ માટે વધારાના વેક્ટર તરીકે સેવા આપી શકે છે), પ્રોજેક્ટ વિવિધ વિતરણોમાં પ્રત્યેક પ્રતિબદ્ધતાના સંપૂર્ણ પરીક્ષણનો ઉપયોગ કરે છે, સ્ટેટિક વિશ્લેષણ સિસ્ટમ્સનો ઉપયોગ કરે છે અને કોડને ફોર્મેટ કરવામાં આવે છે અને ઓડિટીંગને સરળ બનાવવા માટે દસ્તાવેજીકરણ કરવામાં આવે છે.

નબળાઈઓના વર્ગોને અવરોધિત કરવા માટે બિલ્ટ-ઇન પદ્ધતિઓ પ્રદાન કરવામાં આવે છે જેમ કે સમસ્યાઓ, સંબંધિત ડેટા સીરીયલાઇઝેશન સાથે, અસુરક્ષિત PHP મેલ() ફંક્શનનો ઉપયોગ, XSS હુમલા દરમિયાન કૂકીની સામગ્રીનું લીકેજ, એક્ઝિક્યુટેબલ કોડ સાથે ફાઇલો લોડ થવાને કારણે સમસ્યાઓ (ઉદાહરણ તરીકે, ફોર્મેટમાં phar), નબળી ગુણવત્તા રેન્ડમ નંબર જનરેશન અને અવેજી ખોટી XML રચનાઓ.

PHP સુરક્ષાને વધારવા માટે નીચેના મોડ્સ સપોર્ટેડ છે:

• કૂકીઝ માટે આપમેળે "સુરક્ષિત" અને "સેમેસાઇટ" (CSRF રક્ષણ) ફ્લેગ્સને સક્ષમ કરો, એન્ક્રિપ્શન કૂકી;
• હુમલાના નિશાન અને એપ્લિકેશનના સમાધાનને ઓળખવા માટે બિલ્ટ-ઇન નિયમોનો સમૂહ;
• નું દબાણપૂર્વક વૈશ્વિક સક્રિયકરણ "કડક" (ઉદાહરણ તરીકે, દલીલ તરીકે પૂર્ણાંક મૂલ્યની અપેક્ષા કરતી વખતે શબ્દમાળાનો ઉલ્લેખ કરવાના પ્રયાસને અવરોધે છે) અને સામે રક્ષણ પ્રકાર મેનીપ્યુલેશન;
• ડિફૉલ્ટ રૂપે અવરોધિત કરવું પ્રોટોકોલ રેપર્સ (ઉદાહરણ તરીકે, "phar://" પર પ્રતિબંધ) તેમની સ્પષ્ટ વ્હાઇટલિસ્ટિંગ સાથે;
• લખી શકાય તેવી ફાઇલો ચલાવવા પર પ્રતિબંધ;
• eval માટે કાળી અને સફેદ યાદીઓ;
• ઉપયોગ કરતી વખતે TLS પ્રમાણપત્ર તપાસને સક્ષમ કરવા માટે જરૂરી છે
  કર્લ;

• સીરીયલાઇઝ્ડ ઓબ્જેક્ટ્સમાં HMAC ઉમેરવું એ સુનિશ્ચિત કરવા માટે કે ડીસીરિયલાઇઝેશન મૂળ એપ્લિકેશન દ્વારા સંગ્રહિત ડેટાને પુનઃપ્રાપ્ત કરે છે;
• લોગીંગ મોડની વિનંતી કરો;
• XML દસ્તાવેજોમાં લિંક્સ દ્વારા libxml માં બાહ્ય ફાઇલોના લોડિંગને અવરોધિત કરવું;
• અપલોડ કરેલી ફાઇલોને તપાસવા અને સ્કેન કરવા માટે બાહ્ય હેન્ડલર્સ (upload_validation) ને કનેક્ટ કરવાની ક્ષમતા;

મોટા ફ્રેન્ચ હોસ્ટિંગ ઓપરેટરોમાંથી એકના ઈન્ફ્રાસ્ટ્રક્ચરમાં વપરાશકર્તાઓને સુરક્ષિત કરવા માટે આ પ્રોજેક્ટ બનાવવામાં આવ્યો હતો અને તેનો ઉપયોગ કરવામાં આવ્યો હતો. તે નોંધ્યું છેકે Snuffleupagus ને ફક્ત જોડવાથી Drupal, WordPress અને phpBB માં આ વર્ષે ઓળખાયેલી ઘણી ખતરનાક નબળાઈઓ સામે રક્ષણ મળશે. Magento અને Horde માં નબળાઈઓને મોડને સક્ષમ કરીને અવરોધિત કરી શકાય છે
"sp.readonly_exec.enable()".

સોર્સ: opennet.ru