A Snuffleupagus projekt egy PHP-modult fejleszt a sebezhetőségek blokkolására.

A projekt keretein belül Snuffleupagus Go nyelven fejlődik. A PHP7 interpreter connection module designed to enhance the security of the environment and block common errors that lead to vulnerabilities in running PHP applications. The module also allows for the creation of virtual patches to address specific issues without altering the source code of vulnerable applications, which is convenient for use in shared hosting systems where maintaining all user applications up-to-date is not feasible. The module is written in C and connects as a shared library ("extension=snuffleupagus.so" in php.ini) and terjesztésre kerül LGPL 3.0 licenc alatt érhető el.

Snuffleupagus provides a rule system that allows for both standard templates to enhance protection and the creation of custom rules to control input data and function parameters. For instance, the rule "sp.disable_function.function('system').param('command').value_r('[$|;&`\\n]').drop();" allows restricting the use of special characters in the arguments of the function system() without altering the applications. Similarly, custom rules can be created virtuális javítások to block known vulnerabilities.

According to tests conducted by the developers, Snuffleupagus has little impact on performance. To ensure its own security (potential vulnerabilities in the protection layer can serve as an additional attack vector), the project implements thorough testing of every commit across different distributions, utilizing static analysis systems, and the code is formatted and documented to simplify auditing.

Built-in methods are provided to block such classes of vulnerabilities as issues, a kapcsolódó adatok sorosítási problémái, a nem biztonságos mail() PHP-függvény használata, a Cookie-k tartalmának szivárgása XSS támadások során, problémák a fájlok végrehajtható kódtartalmának feltöltése során (például .phar formátumban), a véletlen számok nem megfelelő generálása és phar), nem megfelelő XML konstrukciók behelyettesítése. A Snuffleupagus által biztosított PHP védelmi módok: Automatikus "secure" és "samesite" zászlók bekapcsolása (CSRF elleni védelem) a Cookie-khoz,

The modes supported for enhancing PHP protection include:

• Beépített szabályok készlete támadások nyomainak és alkalmazások kompromittálásának észlelésére; Kényszerített globális " " üzemmód bekapcsolása (pl. blokkolja a megjelenítő az argumentum várt egész szám értéke helyett láncot) és védelem a
• típusok manipulálása
• alapértelmezett blokkolásstrictprotokollok burkolatai (pl. a "phar://" tiltása) fehérlista szerinti kifejezett engedélyezésével;;
• Fájlok végrehajtásának tilalma, amelyeket írásra elérhető; Feketelisták és fehérlisták az eval számára; TLS tanúsítványok kötelező ellenőrzésének aktiválása a
• curl használata során;
• Black and white lists for eval;
• Mandatory TLS certificate verification when using
  curl;
• HMAC hozzáadása a sorosított objektumokhoz a deszerializálás során az eredeti alkalmazás által tárolt adatok garantálására;
• Kérések naplózási módja;
• Külső fájlok betöltésének blokkolása libxml-ben XML-dokumentumokban található hivatkozások alapján;
• Lehetőség külső feldolgozók (upload_validation) csatlakoztatására a feltöltött fájlok ellenőrzésére és átvizsgálására;

The project was created and is used to protect users in the infrastructure of one of the major French hosting operators. Megjegyzendő, which means that simply integrating Snuffleupagus would protect against many dangerous vulnerabilities identified this year in Drupal, WordPress, and phpBB. Vulnerabilities in Magento and Horde could be blocked by enabling the mode
"sp.readonly_exec.enable()".

Forrás: opennet.ru