គម្រោង Snuffleupagus កំពុងបង្កើតម៉ូឌុល PHP សម្រាប់ទប់ស្កាត់ភាពងាយរងគ្រោះ

នៅក្នុងព្រំដែននៃគម្រោង snuffleupagus កំពុងអភិវឌ្ឍ ម៉ូឌុលសម្រាប់ភ្ជាប់ទៅអ្នកបកប្រែ PHP7 ដែលត្រូវបានរចនាឡើងដើម្បីកែលម្អសុវត្ថិភាពនៃបរិស្ថាន និងទប់ស្កាត់កំហុសទូទៅដែលនាំទៅរកភាពងាយរងគ្រោះក្នុងការដំណើរការកម្មវិធី PHP ។ ម៉ូឌុលនេះក៏អនុញ្ញាតឱ្យអ្នកបង្កើតបំណះនិម្មិតដើម្បីដោះស្រាយបញ្ហាជាក់លាក់ដោយមិនផ្លាស់ប្តូរកូដប្រភពនៃកម្មវិធីដែលងាយរងគ្រោះ ដែលងាយស្រួលប្រើក្នុងប្រព័ន្ធបង្ហោះដ៏ធំ ដែលវាមិនអាចរក្សាកម្មវិធីអ្នកប្រើប្រាស់ទាំងអស់ឱ្យទាន់សម័យ។ ម៉ូឌុលត្រូវបានសរសេរជា C ត្រូវបានភ្ជាប់ជាទម្រង់បណ្ណាល័យចែករំលែក (“extension=snuffleupagus.so” នៅក្នុង php.ini) និង ចែកចាយ​ដោយ មានអាជ្ញាប័ណ្ណក្រោម LGPL 3.0 ។

Snuffleupagus ផ្តល់នូវប្រព័ន្ធច្បាប់ដែលអនុញ្ញាតឱ្យអ្នកប្រើគំរូស្តង់ដារដើម្បីបង្កើនសុវត្ថិភាព ឬបង្កើតច្បាប់ផ្ទាល់ខ្លួនរបស់អ្នកដើម្បីគ្រប់គ្រងទិន្នន័យបញ្ចូល និងប៉ារ៉ាម៉ែត្រមុខងារ។ ឧទាហរណ៍ ច្បាប់ “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” អនុញ្ញាតឱ្យអ្នកកំណត់ការប្រើប្រាស់តួអក្សរពិសេសនៅក្នុងអាគុយម៉ង់មុខងារ system() ដោយមិនចាំបាច់ផ្លាស់ប្តូរកម្មវិធី។ ដូចគ្នានេះដែរអ្នកអាចបង្កើត បំណះនិម្មិត ដើម្បីទប់ស្កាត់ភាពងាយរងគ្រោះដែលគេស្គាល់។

ដោយវិនិច្ឆ័យដោយការធ្វើតេស្តដែលធ្វើឡើងដោយអ្នកអភិវឌ្ឍន៍ Snuffleupagus ស្ទើរតែកាត់បន្ថយការអនុវត្ត។ ដើម្បីធានាសុវត្ថិភាពផ្ទាល់ខ្លួនរបស់វា (ភាពងាយរងគ្រោះដែលអាចកើតមាននៅក្នុងស្រទាប់សុវត្ថិភាពអាចបម្រើជាវ៉ិចទ័របន្ថែមសម្រាប់ការវាយប្រហារ) គម្រោងប្រើប្រាស់ការធ្វើតេស្តហ្មត់ចត់នៃការប្រព្រឹត្តិនីមួយៗនៅក្នុងការចែកចាយផ្សេងៗគ្នា ប្រើប្រាស់ប្រព័ន្ធវិភាគឋិតិវន្ត ហើយកូដត្រូវបានធ្វើទ្រង់ទ្រាយ និងចងក្រងជាឯកសារដើម្បីសម្រួលដល់ការធ្វើសវនកម្ម។

វិធីសាស្រ្តដែលភ្ជាប់មកជាមួយត្រូវបានផ្តល់ជូនដើម្បីទប់ស្កាត់ថ្នាក់នៃភាពងាយរងគ្រោះដូចជាបញ្ហា។ ពាក់ព័ន្ធ ជាមួយនឹងការសៀរៀលទិន្នន័យ, មិនមានសុវត្ថិភាព ការប្រើប្រាស់មុខងារ PHP mail() ការលេចធ្លាយមាតិកាខូគីអំឡុងពេលការវាយប្រហារ XSS បញ្ហាដោយសារការផ្ទុកឯកសារជាមួយកូដដែលអាចប្រតិបត្តិបាន (ឧទាហរណ៍ក្នុងទម្រង់ ផារ) ជំនាន់លេខចៃដន្យដែលមានគុណភាពអន់ និង ការជំនួស រចនាសម្ព័ន្ធ XML មិនត្រឹមត្រូវ។

របៀបខាងក្រោមត្រូវបានគាំទ្រដើម្បីបង្កើនសុវត្ថិភាព PHP៖

• បើកទង់ "សុវត្ថិភាព" និង "ដូចគ្នា" (ការការពារ CSRF) ដោយស្វ័យប្រវត្តិសម្រាប់ខូគី, ការអ៊ិនគ្រីប ខូគី;
• សំណុំនៃច្បាប់ដែលភ្ជាប់មកជាមួយដើម្បីកំណត់អត្តសញ្ញាណដាននៃការវាយប្រហារ និងការសម្របសម្រួលនៃកម្មវិធី។
• ការធ្វើឱ្យសកម្មជាសកលដោយបង្ខំនៃ "យ៉ាងតឹងរឹង" (ឧទាហរណ៍ រារាំងការប៉ុនប៉ងដើម្បីបញ្ជាក់ខ្សែអក្សរ នៅពេលរំពឹងតម្លៃចំនួនគត់ជាអាគុយម៉ង់) និងការការពារប្រឆាំងនឹង ប្រភេទនៃឧបាយកល។;
• ការទប់ស្កាត់លំនាំដើម រុំពិធីការ (ឧទាហរណ៍ ការហាមប្រាម "phar://") ជាមួយនឹងបញ្ជីសយ៉ាងច្បាស់លាស់របស់ពួកគេ;
• ការហាមឃាត់លើការប្រតិបត្តិនៃឯកសារដែលអាចសរសេរបាន;
• បញ្ជីខ្មៅនិងសសម្រាប់ការវាយតម្លៃ;
• តម្រូវឱ្យបើកការត្រួតពិនិត្យវិញ្ញាបនបត្រ TLS នៅពេលប្រើ
  curl;

• ការបន្ថែម HMAC ទៅកាន់វត្ថុដែលមានសៀរៀល ដើម្បីធានាថា deserialization ទាញយកទិន្នន័យដែលបានរក្សាទុកដោយកម្មវិធីដើម។
• របៀបកត់ត្រាសំណួរ;
• ការទប់ស្កាត់ការផ្ទុកឯកសារខាងក្រៅនៅក្នុង libxml តាមរយៈតំណភ្ជាប់ក្នុងឯកសារ XML;
• សមត្ថភាពក្នុងការភ្ជាប់ឧបករណ៍ដោះស្រាយខាងក្រៅ (ការបង្ហោះ_សុពលភាព) ដើម្បីពិនិត្យ និងស្កេនឯកសារដែលបានផ្ទុកឡើង។

គម្រោងនេះត្រូវបានបង្កើតឡើង និងប្រើប្រាស់ដើម្បីការពារអ្នកប្រើប្រាស់នៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធនៃប្រតិបត្តិករបង្ហោះបារាំងដ៏ធំមួយ។ វាត្រូវបានកត់សម្គាល់ថាគ្រាន់តែភ្ជាប់ Snuffleupagus នឹងការពារប្រឆាំងនឹងភាពងាយរងគ្រោះដ៏គ្រោះថ្នាក់ជាច្រើនដែលបានកំណត់នៅឆ្នាំនេះនៅក្នុង Drupal, WordPress និង phpBB ។ ភាពងាយរងគ្រោះនៅក្នុង Magento និង Horde អាចត្រូវបានរារាំងដោយការបើករបៀបនេះ។
"sp.readonly_exec.enable()"។

ប្រភព: opennet.ru