Tso tawm Snuffleupagus 0.5.1, ib qho module rau thaiv qhov tsis zoo hauv PHP daim ntawv thov

Tom qab ib xyoos ntawm kev loj hlob luam tawm qhov project tso tawm Snuffleupagus 0.5.1, предоставляющего модуль к интерпретатору PHP7 для повышения безопасности окружения и блокирования типовых ошибок, приводящих к появлению уязвимостей в выполняемых PHP-приложениях. Модуль также позволяет создавать virtual thaj ua rau thaj для устранения конкретных проблем без изменения исходных текстов уязвимого приложения, что удобно для применения в системах массового хостинга, на которых невозможно добиться поддержания всех пользовательских приложений в актуальном виде. Накладные расходы от работы модуля оцениваются как минимальные. Модуль написан на языке Си, подключается в форме разделяемой библиотеки («extension=snuffleupagus.so» в php.ini) и faib los ntawm muaj ntawv tso cai raws li LGPL 3.0.

Snuffleupagus предоставляет систему правил, позволяющую использовать как типовые шаблоны для повышения защиты, так и создавать собственные правила для контроля входных данных и параметров функций. Например, правило «sp.disable_function.function(«system»).param(«command»).value_r(«[$|;&`\\n]»).drop();» позволяет не изменяя приложения ограничить использование спецсимволов в аргументах функции system(). Предоставляются встроенные методы для блокирования таких классов уязвимоcтей, как проблемы, ntsig txog nrog cov ntaub ntawv serialization, tsis nyab xeeb siv PHP mail() muaj nuj nqi, xau ntawm ncuav qab zib ntsiab lus thaum lub sij hawm XSS tawm tsam, teeb meem vim loading cov ntaub ntawv nrog executable code (piv txwv li, nyob rau hauv hom phar), tsis zoo random naj npawb tiam thiab hloov tsis raug XML tsim.

Предоставляемые в Snuffleupagus режимы повышения защиты PHP:

• Yuav ua kom "kev ruaj ntseg" thiab "samesite" (CSRF tiv thaiv) chij rau ncuav qab zib, encryption ncuav qab zib;
• Built-in cov cai los txheeb xyuas cov kab ntawm kev tawm tsam thiab kev cuam tshuam ntawm kev siv;
• Forced thoob ntiaj teb ua kom "nruj" (piv txwv li, thaiv qhov kev sim qhia ib txoj hlua thaum xav tau tus lej suav raws li kev sib cav) thiab tiv thaiv hom manipulation;
• Thaiv los ntawm lub neej ntawd raws tu qauv wrappers (piv txwv li, txwv tsis pub "phar://") nrog lawv cov npe dawb;
• Kev txwv tsis pub ua cov ntaub ntawv uas sau tau;
• Cov npe dub thiab dawb rau kev ntsuam xyuas;
• Yuav tsum tau qhib TLS daim ntawv pov thawj tshawb xyuas thaum siv
  curl;
• Ntxiv HMAC rau serialized khoom los xyuas kom meej tias deserialization retrieves cov ntaub ntawv khaws cia los ntawm thawj daim ntawv thov;
• Thov nkag hom;
• Thaiv kev thauj khoom ntawm cov ntaub ntawv sab nraud hauv libxml ntawm kev sib txuas hauv XML cov ntaub ntawv;
• Muaj peev xwm txuas rau lwm tus neeg tuav haujlwm (upload_validation) los xyuas thiab luam theej duab cov ntaub ntawv upload;

Ntawm cov kev hloov в новом выпуске: Улучшена поддержка PHP 7.4 и реализована совместимость с находящейся в разработке веткой PHP 8. Добавлена возможность журналирования событий через syslog (для включения предложена директива sp.log_media, которая может принимать значения php или syslog). Обновлён предлагаемый по умолчанию набор правил, в который добавлены новые правила для выявленных в последнее время уязвимостей и техник атак на web-приложения. Улучшена поддержка macOS и расширено применение платформы непрерывной интеграции на базе GitLab.

Tau qhov twg los: opennet.ru