Ọrụ Snuffleupagus na-emepụta modul PHP maka igbochi adịghị ike

N'ókè nke oru ngo snuffleupagus na-eto eto модуль для подключения к интерпретатору PHP7, предназначенный для повышения безопасности окружения и блокирования типовых ошибок, приводящих к появлению уязвимостей в выполняемых PHP-приложениях. Модуль также позволяет создавать виртуальные патчи для устранения конкретных проблем без изменения исходных текстов уязвимого приложения, что удобно для применения в системах массового хостинга, на которых невозможно добиться поддержания всех пользовательских приложений в актуальном виде. Модуль написан на языке Си, подключается в форме разделяемой библиотеки («extension=snuffleupagus.so» в php.ini) и kesara site nyere ikike n'okpuru LGPL 3.0.

Snuffleupagus предоставляет систему правил, позволяющую использовать как типовые шаблоны для повышения защиты, так и создавать собственные правила для контроля входных данных и параметров функций. Например, правило «sp.disable_function.function(«system»).param(«command»).value_r(«[$|;&`\\n]»).drop();» позволяет не изменяя приложения ограничить использование спецсимволов в аргументах функции system(). Аналогично можно создавать mebere patches для блокирования известных уязвимостей.

Судя по проведённым разработчиками тестам Snuffleupagus почти не снижает производительность. Для обеспечения собственной безопасности (возможные уязвимости в прослойке для защиты могут служить дополнительным вектором для атак) в проекте применяется доскональное тестирование каждого коммита в разных дистрибутивах, используются системы статического анализа, код оформляется и документируется для упрощения проведения аудита.

Предоставляются встроенные методы для блокирования таких классов уязвимоcтей, как проблемы, metụtara na usoro nke data, adịghị ize ndụ iji PHP mail() ọrụ, ntapu nke ọdịnaya kuki n'oge ọgụ XSS, nsogbu n'ihi na-ebufe faịlụ na executable koodu (dịka ọmụmaatụ, na usoro phar), adịghị mma random nọmba ọgbọ na nnọchi arụrụ XML ezighi ezi.

Из режимов для повышения защиты PHP поддерживаются:

• Kwado ọkọlọtọ "echekwabara" na "samesite" (nchedo CSRF) maka Kuki na-akpaghị aka, zoro ezo Kuki;
• Usoro iwu arụnyere n'ime ya iji chọpụta akara mwakpo na imebi ngwa;
• Mmanye zuru ụwa ọnụ nke "echesinụ"(dịka ọmụmaatụ, na-egbochi mbọ ịkọwapụta eriri mgbe ị na-atụ anya uru integer dị ka arụmụka) yana nchebe megide ụdị aghụghọ;
• Mgbochi ndabara ihe mkpuchi protocol (dịka ọmụmaatụ, machibido "phar://") site na ndenye ọcha ha doro anya;
• Mmachibido iwu na-emezu faịlụ ndị edere;
• Ndepụta oji na ọcha maka eval;
• Achọrọ iji mee ka ịlele asambodo TLS mgbe ị na-eji
  curl;

• Ịgbakwunye HMAC na ihe serialized iji hụ na deserialization na-eweghachite data nke ngwa mbụ echekwara;
• Rịọ ọnọdụ ndekọ;
• Na-egbochi nbudata faịlụ mpụga na libxml site na njikọ dị na akwụkwọ XML;
• Ikike ijikọ ndị na-ahụ maka mpụga (upload_validation) iji lelee na nyochaa faịlụ ebugoro;

Проект создан и используется для защиты пользователей в инфраструктуре одного из крупных французских операторов хостинга. Achọpụtara ya, что просто подключение Snuffleupagus позволило бы защититься от многих опасных уязвимостей, выявленных в этом году в Drupal, WordPress и phpBB. Уязвимости в Magento и Horde могли бы быть блокированы включением режима
«sp.readonly_exec.enable()».

isi: opennet.ru