PHP अनुप्रयोगों में कमजोरियों को रोकने के लिए एक मॉड्यूल, स्नफ़लुपेगस 0.5.1 का विमोचन

एक साल के विकास के बाद प्रकाशित परियोजना विमोचन स्नफ़लुपैगस 0.5.1, जो पर्यावरण की सुरक्षा में सुधार करने और सामान्य त्रुटियों को रोकने के लिए PHP7 दुभाषिया के लिए एक मॉड्यूल प्रदान करता है जो PHP अनुप्रयोगों को चलाने में कमजोरियों का कारण बनता है। मॉड्यूल आपको बनाने की भी अनुमति देता है आभासी पैच कमजोर एप्लिकेशन के स्रोत कोड को बदले बिना विशिष्ट समस्याओं को खत्म करने के लिए, जो बड़े पैमाने पर होस्टिंग सिस्टम में उपयोग के लिए सुविधाजनक है जहां सभी उपयोगकर्ता एप्लिकेशन को अद्यतित रखना असंभव है। मॉड्यूल की ओवरहेड लागत न्यूनतम होने का अनुमान है। मॉड्यूल सी में लिखा गया है, एक साझा लाइब्रेरी के रूप में जुड़ा हुआ है (php.ini में "एक्सटेंशन = स्नफलअपागस.सो") और द्वारा वितरित एलजीपीएल 3.0 के तहत लाइसेंस प्राप्त।

स्नफ़लुपागस एक नियम प्रणाली प्रदान करता है जो आपको सुरक्षा में सुधार के लिए मानक टेम्पलेट्स का उपयोग करने, या इनपुट डेटा और फ़ंक्शन मापदंडों को नियंत्रित करने के लिए अपने स्वयं के नियम बनाने की अनुमति देता है। उदाहरण के लिए, नियम “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” आपको एप्लिकेशन को बदले बिना सिस्टम() फ़ंक्शन तर्कों में विशेष वर्णों के उपयोग को सीमित करने की अनुमति देता है। मुद्दों, जैसे कमजोरियों के वर्गों को ब्लॉक करने के लिए अंतर्निहित तरीके प्रदान किए जाते हैं। связанные डेटा क्रमांकन के साथ, असुरक्षित PHP मेल() फ़ंक्शन का उपयोग, XSS हमलों के दौरान कुकी सामग्री का रिसाव, निष्पादन योग्य कोड के साथ फ़ाइलें लोड करने के कारण समस्याएं (उदाहरण के लिए, प्रारूप में) चरण), खराब गुणवत्ता वाली यादृच्छिक संख्या पीढ़ी और प्रतिस्थापन गलत XML निर्माण.

स्नफ़लुपागस द्वारा प्रदान किए गए PHP सुरक्षा संवर्द्धन मोड:

• कुकीज़ के लिए "सुरक्षित" और "सेमसाइट" (सीएसआरएफ सुरक्षा) झंडे स्वचालित रूप से सक्षम करें, एन्क्रिप्शन कुकी;
• हमलों के निशान और अनुप्रयोगों के समझौते की पहचान करने के लिए नियमों का अंतर्निहित सेट;
• "की जबरन वैश्विक सक्रियताकठोर" (उदाहरण के लिए, एक तर्क के रूप में पूर्णांक मान की अपेक्षा करते समय एक स्ट्रिंग निर्दिष्ट करने के प्रयास को अवरुद्ध करता है) और इसके विरुद्ध सुरक्षा प्रकार का हेरफेर;
• डिफ़ॉल्ट अवरोधन प्रोटोकॉल रैपर (उदाहरण के लिए, उनकी स्पष्ट श्वेतसूची के साथ "फ़ार: //" पर प्रतिबंध लगाना);
• लिखने योग्य फ़ाइलों को निष्पादित करने पर प्रतिबंध;
• eval के लिए श्वेत-श्याम सूचियाँ;
• उपयोग करते समय टीएलएस प्रमाणपत्र जांच सक्षम करना आवश्यक है
  कर्ल;
• क्रमबद्ध ऑब्जेक्ट में एचएमएसी जोड़ना यह सुनिश्चित करने के लिए कि डिसेरिएलाइज़ेशन मूल एप्लिकेशन द्वारा संग्रहीत डेटा को पुनः प्राप्त करता है;
• लॉगिंग मोड का अनुरोध करें;
• XML दस्तावेज़ों में लिंक के माध्यम से libxml में बाहरी फ़ाइलों की लोडिंग को अवरुद्ध करना;
• अपलोड की गई फ़ाइलों की जांच और स्कैन करने के लिए बाहरी हैंडलर (अपलोड_वैलिडेशन) को कनेक्ट करने की क्षमता;

के बीच में परिवर्तन नई रिलीज़ में: PHP 7.4 के लिए बेहतर समर्थन और वर्तमान में विकास में PHP 8 शाखा के साथ कार्यान्वित संगतता को syslog के माध्यम से घटनाओं को लॉग करने की क्षमता जोड़ी गई है (sp.log_media निर्देश शामिल करने के लिए प्रस्तावित है, जो php या syslog मान ले सकता है)। वेब अनुप्रयोगों के विरुद्ध हाल ही में पहचानी गई कमजोरियों और आक्रमण तकनीकों के लिए नए नियमों को शामिल करने के लिए नियमों के डिफ़ॉल्ट सेट को अद्यतन किया गया है। MacOS के लिए बेहतर समर्थन और GitLab पर आधारित निरंतर एकीकरण प्लेटफ़ॉर्म का विस्तारित उपयोग।

स्रोत: opennet.ru