שחרור של Snuffleupagus 0.5.1, מודול לחסימת נקודות תורפה ביישומי PHP

לאחר שנה של פיתוח פורסם שחרור הפרויקט סנפלאופגוס 0.5.1, המספק מודול עבור מתורגמן PHP7 לשיפור אבטחת הסביבה וחסימת שגיאות נפוצות המובילות לפרצות בהפעלת יישומי PHP. המודול גם מאפשר לך ליצור תיקונים וירטואליים כדי לבטל בעיות ספציפיות מבלי לשנות את קוד המקור של האפליקציה הפגיעה, מה שנוח לשימוש במערכות אירוח המוני שבהן אי אפשר לעדכן את כל יישומי המשתמש. עלויות התקורה של המודול מוערכות כמינימליות. המודול כתוב ב-C, מחובר בצורה של ספרייה משותפת ("extension=snuffleupagus.so" ב-php.ini) ו מופץ על ידי מורשה תחת LGPL 3.0.

Snuffleupagus מספקת מערכת חוקים המאפשרת לך להשתמש בתבניות סטנדרטיות כדי לשפר את האבטחה, או ליצור כללים משלך כדי לשלוט בנתוני קלט ופרמטרים של תפקוד. לדוגמה, הכלל "sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();" מאפשר לך להגביל את השימוש בתווים מיוחדים בארגומנטים של פונקציית system() מבלי לשנות את היישום. שיטות מובנות מסופקות לחסימת מחלקות של פגיעויות כמו בעיות, Связанные עם סידור נתונים, מְסוּכָּן שימוש בפונקציית PHP mail(), דליפה של תוכן Cookie במהלך התקפות XSS, בעיות עקב טעינת קבצים עם קוד הפעלה (לדוגמה, בפורמט פאר), יצירת מספרים אקראי באיכות ירודה ו החלפה בניית XML שגויה.

מצבי שיפור אבטחת PHP שסופקו על ידי Snuffleupagus:

• הפעל באופן אוטומטי דגלי "מאבטח" ו-"samesite" (הגנה על CSRF) עבור קובצי Cookie, הצפנה עוגייה;
• מערכת כללים מובנית לזיהוי עקבות של התקפות והתפשרות של יישומים;
• הפעלה גלובלית כפויה של "קַפְּדָנִי" (לדוגמה, חוסם ניסיון לציין מחרוזת כאשר מצפה לערך מספר שלם כארגומנט) והגנה מפני סוג מניפולציה;
• חסימת ברירת מחדל עטיפות פרוטוקול (לדוגמה, איסור על "phar://") עם רשימת ההיתרים המפורשת שלהם;
• איסור על ביצוע קבצים הניתנים לכתיבה;
• רשימות שחור ולבן עבור eval;
• נדרש כדי לאפשר בדיקת אישור TLS בעת השימוש
  סִלְסוּל;
• הוספת HMAC לאובייקטים מסודרים כדי להבטיח שהסידריאליזציה מאחזרת את הנתונים המאוחסנים באפליקציה המקורית;
• בקשת מצב רישום;
• חסימת טעינה של קבצים חיצוניים ב-libxml באמצעות קישורים במסמכי XML;
• יכולת לחבר מטפלים חיצוניים (upload_validation) כדי לבדוק ולסרוק קבצים שהועלו;

בין שינויים במהדורה החדשה: תמיכה משופרת ב-PHP 7.4 והטמעת תאימות עם ענף PHP 8 שנמצא כעת בפיתוח. הוספה את היכולת להתחבר לאירועים באמצעות syslog (הנחיית sp.log_media מוצעת להכללה, שיכולה לקחת ערכי php או syslog). מערכת ברירת המחדל של הכללים עודכנה כך שתכלול כללים חדשים עבור פגיעויות שזוהו לאחרונה וטכניקות התקפה נגד יישומי אינטרנט. תמיכה משופרת ב-macOS ושימוש מורחב בפלטפורמת האינטגרציה הרציפה המבוססת על GitLab.

מקור: OpenNet.ru