ການປ່ອຍ Snuffleupagus 0.5.1, ໂມດູນສໍາລັບການສະກັດຊ່ອງໂຫວ່ໃນຄໍາຮ້ອງສະຫມັກ PHP

ຫຼັງຈາກປີຂອງການພັດທະນາ ຈັດພີມມາ ການປ່ອຍໂຄງການ Snuffleupagus 0.5.1, ເຊິ່ງສະຫນອງໂມດູນສໍາລັບນາຍພາສາ PHP7 ເພື່ອປັບປຸງຄວາມປອດໄພຂອງສະພາບແວດລ້ອມແລະສະກັດກັ້ນຄວາມຜິດພາດທົ່ວໄປທີ່ນໍາໄປສູ່ຄວາມອ່ອນແອໃນການເຮັດວຽກຂອງຄໍາຮ້ອງສະຫມັກ PHP. ໂມດູນຍັງອະນຸຍາດໃຫ້ທ່ານສ້າງ ແຜ່ນ virtual ເພື່ອລົບລ້າງບັນຫາສະເພາະໂດຍບໍ່ມີການປ່ຽນລະຫັດແຫຼ່ງຂອງແອັບພລິເຄຊັນທີ່ມີຄວາມສ່ຽງ, ເຊິ່ງສະດວກສໍາລັບການນໍາໃຊ້ໃນລະບົບ hosting ມະຫາຊົນທີ່ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຮັກສາຄໍາຮ້ອງສະຫມັກຂອງຜູ້ໃຊ້ທັງຫມົດໃຫ້ທັນສະໄຫມ. ຄ່າໃຊ້ຈ່າຍສ່ວນເກີນຂອງໂມດູນແມ່ນຄາດວ່າຈະມີຫນ້ອຍທີ່ສຸດ. ໂມດູນຖືກຂຽນໄວ້ໃນ C, ຖືກເຊື່ອມຕໍ່ໃນຮູບແບບຂອງຫ້ອງສະຫມຸດຮ່ວມກັນ (“extension=snuffleupagus.so” ໃນ php.ini) ແລະ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ LGPL 3.0.

Snuffleupagus ສະຫນອງລະບົບກົດລະບຽບທີ່ອະນຸຍາດໃຫ້ທ່ານໃຊ້ແມ່ແບບມາດຕະຖານເພື່ອປັບປຸງຄວາມປອດໄພ, ຫຼືສ້າງກົດລະບຽບຂອງຕົນເອງເພື່ອຄວບຄຸມຂໍ້ມູນການປ້ອນຂໍ້ມູນແລະຕົວກໍານົດການທໍາງານ. ຕົວຢ່າງ, ກົດລະບຽບ “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” ອະນຸຍາດໃຫ້ທ່ານຈໍາກັດການນໍາໃຊ້ຕົວອັກສອນພິເສດໃນ arguments ຟັງຊັນ system() ໂດຍບໍ່ມີການປ່ຽນຄໍາຮ້ອງສະຫມັກ. ວິທີການໃນຕົວແມ່ນສະຫນອງໃຫ້ເພື່ອສະກັດຫ້ອງຮຽນຂອງຊ່ອງໂຫວ່ເຊັ່ນ: ບັນຫາ, ທີ່ກ່ຽວຂ້ອງ ມີ serialization ຂໍ້ມູນ, ບໍ່ປອດໄພ ການນໍາໃຊ້ຟັງຊັນ PHP mail(), ການຮົ່ວໄຫລຂອງເນື້ອໃນ Cookie ໃນລະຫວ່າງການໂຈມຕີ XSS, ບັນຫາເນື່ອງຈາກການໂຫຼດໄຟລ໌ທີ່ມີລະຫັດປະຕິບັດ (ຕົວຢ່າງ, ໃນຮູບແບບ. ຟາ), ການຜະລິດຈໍານວນ Random ທີ່ມີຄຸນນະພາບທີ່ບໍ່ດີແລະ ການທົດແທນ ໂຄງສ້າງ XML ບໍ່ຖືກຕ້ອງ.

ໂຫມດການປັບປຸງຄວາມປອດໄພ PHP ສະຫນອງໃຫ້ໂດຍ Snuffleupagus:

• ເປີດໃຊ້ທຸງ "ປອດໄພ" ແລະ "ດຽວກັນ" (ການປົກປ້ອງ CSRF) ໂດຍອັດຕະໂນມັດສຳລັບຄຸກກີ້, ການເຂົ້າລະຫັດ ຄຸກກີ;
• ກົດລະບຽບທີ່ກໍານົດໄວ້ໃນຕົວເພື່ອກໍານົດຮ່ອງຮອຍຂອງການໂຈມຕີແລະການປະນີປະນອມຂອງຄໍາຮ້ອງສະຫມັກ;
• ບັງຄັບໃຫ້ການເຄື່ອນໄຫວທົ່ວໂລກຂອງ "ຢ່າງເຄັ່ງຄັດ" (ຕົວຢ່າງ, ຂັດຂວາງຄວາມພະຍາຍາມທີ່ຈະລະບຸສະຕຣິງໃນເວລາທີ່ຄາດຫວັງວ່າຄ່າຈໍານວນເຕັມເປັນ argument) ແລະການປົກປ້ອງຕໍ່ກັບ ການຫມູນໃຊ້ປະເພດ;
• ການບລັອກເລີ່ມຕົ້ນ ຫໍ່ໂປໂຕຄອນ (ຕົວຢ່າງເຊັ່ນການຫ້າມ "phar://") ດ້ວຍບັນຊີຂາວທີ່ຊັດເຈນຂອງພວກເຂົາ;
• ການຫ້າມການດໍາເນີນການໄຟລ໌ທີ່ສາມາດຂຽນໄດ້;
• ບັນຊີລາຍຊື່ສີດໍາແລະສີຂາວສໍາລັບການ eval;
• ຕ້ອງການເພື່ອເປີດໃຊ້ການກວດສອບໃບຢັ້ງຢືນ TLS ເມື່ອໃຊ້
  curl;
• ເພີ່ມ HMAC ກັບວັດຖຸ serialized ເພື່ອຮັບປະກັນວ່າ deserialization ດຶງຂໍ້ມູນທີ່ເກັບໄວ້ໂດຍຄໍາຮ້ອງສະຫມັກຕົ້ນສະບັບ;
• ຮ້ອງຂໍຮູບແບບການບັນທຶກ;
• ການຂັດຂວາງການໂຫຼດໄຟລ໌ພາຍນອກໃນ libxml ຜ່ານການເຊື່ອມຕໍ່ໃນເອກະສານ XML;
• ຄວາມສາມາດໃນການເຊື່ອມຕໍ່ຕົວຈັດການພາຍນອກ (upload_validation) ເພື່ອກວດສອບແລະສະແກນໄຟລ໌ທີ່ອັບໂຫລດ;

ໃນບັນດາ ການປ່ຽນແປງ ໃນການປ່ອຍໃຫມ່: ການປັບປຸງການສະຫນັບສະຫນູນ PHP 7.4 ແລະປະຕິບັດຄວາມເຂົ້າກັນໄດ້ກັບສາຂາ PHP 8 ໃນປະຈຸບັນໃນການພັດທະນາໄດ້ເພີ່ມຄວາມສາມາດໃນການບັນທຶກເຫດການຜ່ານ syslog (ຄໍາແນະນໍາ sp.log_media ແມ່ນສະເຫນີສໍາລັບການລວມ, ເຊິ່ງສາມາດເອົາຄ່າ php ຫຼື syslog). ຊຸດກົດລະບຽບເລີ່ມຕົ້ນໄດ້ຖືກປັບປຸງເພື່ອລວມເອົາກົດລະບຽບໃຫມ່ສໍາລັບຊ່ອງໂຫວ່ທີ່ຖືກກໍານົດເມື່ອໄວໆມານີ້ແລະເຕັກນິກການໂຈມຕີຕໍ່ກັບຄໍາຮ້ອງສະຫມັກເວັບ. ປັບປຸງການຮອງຮັບ macOS ແລະຂະຫຍາຍການນໍາໃຊ້ແພລະຕະຟອມການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງໂດຍອີງໃສ່ GitLab.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru