स्नफ़लुपागस परियोजना कमजोरियों को रोकने के लिए एक PHP मॉड्यूल विकसित कर रही है

परियोजना की सीमाओं में snuffleupagus विकसित हो रहा है PHP7 दुभाषिया से जुड़ने के लिए एक मॉड्यूल, जिसे पर्यावरण की सुरक्षा में सुधार करने और PHP अनुप्रयोगों को चलाने में कमजोरियों का कारण बनने वाली सामान्य त्रुटियों को रोकने के लिए डिज़ाइन किया गया है। मॉड्यूल आपको कमजोर एप्लिकेशन के स्रोत कोड को बदले बिना विशिष्ट समस्याओं को ठीक करने के लिए वर्चुअल पैच बनाने की भी अनुमति देता है, जो बड़े पैमाने पर होस्टिंग सिस्टम में उपयोग के लिए सुविधाजनक है जहां सभी उपयोगकर्ता एप्लिकेशन को अद्यतित रखना असंभव है। मॉड्यूल सी में लिखा गया है, एक साझा लाइब्रेरी के रूप में जुड़ा हुआ है (php.ini में "एक्सटेंशन = स्नफलअपागस.सो") और द्वारा वितरित एलजीपीएल 3.0 के तहत लाइसेंस प्राप्त।

स्नफ़लुपागस एक नियम प्रणाली प्रदान करता है जो आपको सुरक्षा में सुधार के लिए मानक टेम्पलेट्स का उपयोग करने, या इनपुट डेटा और फ़ंक्शन मापदंडों को नियंत्रित करने के लिए अपने स्वयं के नियम बनाने की अनुमति देता है। उदाहरण के लिए, नियम “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” आपको एप्लिकेशन को बदले बिना सिस्टम() फ़ंक्शन तर्कों में विशेष वर्णों के उपयोग को सीमित करने की अनुमति देता है। इसी तरह, आप बना सकते हैं आभासी पैच ज्ञात कमजोरियों को रोकने के लिए।

डेवलपर्स द्वारा किए गए परीक्षणों को देखते हुए, स्नफ़लुपागस शायद ही प्रदर्शन को कम करता है। अपनी स्वयं की सुरक्षा सुनिश्चित करने के लिए (सुरक्षा परत में संभावित कमजोरियाँ हमलों के लिए एक अतिरिक्त वेक्टर के रूप में काम कर सकती हैं), परियोजना विभिन्न वितरणों में प्रत्येक प्रतिबद्धता के गहन परीक्षण का उपयोग करती है, स्थैतिक विश्लेषण प्रणालियों का उपयोग करती है, और ऑडिटिंग को सरल बनाने के लिए कोड को स्वरूपित और प्रलेखित किया जाता है।

मुद्दों, जैसे कमजोरियों के वर्गों को ब्लॉक करने के लिए अंतर्निहित तरीके प्रदान किए जाते हैं। связанные डेटा क्रमांकन के साथ, असुरक्षित PHP मेल() फ़ंक्शन का उपयोग, XSS हमलों के दौरान कुकी सामग्री का रिसाव, निष्पादन योग्य कोड के साथ फ़ाइलें लोड करने के कारण समस्याएं (उदाहरण के लिए, प्रारूप में) चरण), खराब गुणवत्ता वाली यादृच्छिक संख्या पीढ़ी और प्रतिस्थापन गलत XML निर्माण.

PHP सुरक्षा बढ़ाने के लिए निम्नलिखित मोड समर्थित हैं:

• कुकीज़ के लिए "सुरक्षित" और "सेमसाइट" (सीएसआरएफ सुरक्षा) झंडे स्वचालित रूप से सक्षम करें, एन्क्रिप्शन कुकी;
• हमलों के निशान और अनुप्रयोगों के समझौते की पहचान करने के लिए नियमों का अंतर्निहित सेट;
• "की जबरन वैश्विक सक्रियताकठोर" (उदाहरण के लिए, एक तर्क के रूप में पूर्णांक मान की अपेक्षा करते समय एक स्ट्रिंग निर्दिष्ट करने के प्रयास को अवरुद्ध करता है) और इसके विरुद्ध सुरक्षा प्रकार का हेरफेर;
• डिफ़ॉल्ट अवरोधन प्रोटोकॉल रैपर (उदाहरण के लिए, उनकी स्पष्ट श्वेतसूची के साथ "फ़ार: //" पर प्रतिबंध लगाना);
• लिखने योग्य फ़ाइलों को निष्पादित करने पर प्रतिबंध;
• eval के लिए श्वेत-श्याम सूचियाँ;
• उपयोग करते समय टीएलएस प्रमाणपत्र जांच सक्षम करना आवश्यक है
  कर्ल;

• क्रमबद्ध ऑब्जेक्ट में एचएमएसी जोड़ना यह सुनिश्चित करने के लिए कि डिसेरिएलाइज़ेशन मूल एप्लिकेशन द्वारा संग्रहीत डेटा को पुनः प्राप्त करता है;
• लॉगिंग मोड का अनुरोध करें;
• XML दस्तावेज़ों में लिंक के माध्यम से libxml में बाहरी फ़ाइलों की लोडिंग को अवरुद्ध करना;
• अपलोड की गई फ़ाइलों की जांच और स्कैन करने के लिए बाहरी हैंडलर (अपलोड_वैलिडेशन) को कनेक्ट करने की क्षमता;

यह प्रोजेक्ट बड़े फ्रांसीसी होस्टिंग ऑपरेटरों में से एक के बुनियादी ढांचे में उपयोगकर्ताओं की सुरक्षा के लिए बनाया और उपयोग किया गया था। विख्यातकि केवल स्नफ़लुपैगस को जोड़ने से ड्रुपल, वर्डप्रेस और phpBB में इस वर्ष पहचानी गई कई खतरनाक कमजोरियों से रक्षा होगी। मोड को सक्षम करके मैगेंटो और होर्डे में कमजोरियों को अवरुद्ध किया जा सकता है
"sp.readonly_exec.enable()"।

स्रोत: opennet.ru