ໂຄງການ Snuffleupagus ກໍາລັງພັດທະນາໂມດູນ PHP ສໍາລັບການສະກັດຊ່ອງໂຫວ່

ໃນຂອບເຂດຂອງໂຄງການ snuffleupagus ກຳ ລັງພັດທະນາ ໂມດູນສໍາລັບການເຊື່ອມຕໍ່ກັບນາຍພາສາ PHP7, ອອກແບບມາເພື່ອປັບປຸງຄວາມປອດໄພຂອງສະພາບແວດລ້ອມແລະສະກັດກັ້ນຄວາມຜິດພາດທົ່ວໄປທີ່ນໍາໄປສູ່ຄວາມອ່ອນແອໃນການເຮັດວຽກຂອງຄໍາຮ້ອງສະຫມັກ PHP. ໂມດູນຍັງຊ່ວຍໃຫ້ທ່ານສ້າງແທັບ virtual ເພື່ອແກ້ໄຂບັນຫາສະເພາະໂດຍບໍ່ມີການປ່ຽນລະຫັດແຫຼ່ງຂອງແອັບພລິເຄຊັນທີ່ມີຄວາມສ່ຽງ, ເຊິ່ງສະດວກສໍາລັບການນໍາໃຊ້ໃນລະບົບ hosting ມະຫາຊົນທີ່ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຮັກສາຄໍາຮ້ອງສະຫມັກຂອງຜູ້ໃຊ້ທັງຫມົດໃຫ້ທັນສະໄຫມ. ໂມດູນຖືກຂຽນໄວ້ໃນ C, ຖືກເຊື່ອມຕໍ່ໃນຮູບແບບຂອງຫ້ອງສະຫມຸດຮ່ວມກັນ (“extension=snuffleupagus.so” ໃນ php.ini) ແລະ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ LGPL 3.0.

Snuffleupagus ສະຫນອງລະບົບກົດລະບຽບທີ່ອະນຸຍາດໃຫ້ທ່ານໃຊ້ແມ່ແບບມາດຕະຖານເພື່ອປັບປຸງຄວາມປອດໄພ, ຫຼືສ້າງກົດລະບຽບຂອງຕົນເອງເພື່ອຄວບຄຸມຂໍ້ມູນການປ້ອນຂໍ້ມູນແລະຕົວກໍານົດການທໍາງານ. ຕົວຢ່າງ, ກົດລະບຽບ “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” ອະນຸຍາດໃຫ້ທ່ານຈໍາກັດການນໍາໃຊ້ຕົວອັກສອນພິເສດໃນ arguments ຟັງຊັນ system() ໂດຍບໍ່ມີການປ່ຽນຄໍາຮ້ອງສະຫມັກ. ເຊັ່ນດຽວກັນ, ທ່ານສາມາດສ້າງ ແຜ່ນ virtual ເພື່ອສະກັດຈຸດອ່ອນທີ່ຮູ້ຈັກ.

ການຕັດສິນໂດຍການທົດສອບທີ່ດໍາເນີນໂດຍນັກພັດທະນາ, Snuffleupagus hardly ຫຼຸດລົງການປະຕິບັດ. ເພື່ອຮັບປະກັນຄວາມປອດໄພຂອງຕົນເອງ (ຊ່ອງໂຫວ່ທີ່ເປັນໄປໄດ້ໃນຊັ້ນຄວາມປອດໄພສາມາດເປັນ vector ເພີ່ມເຕີມສໍາລັບການໂຈມຕີ), ໂຄງການໃຊ້ການທົດສອບຢ່າງລະອຽດຂອງແຕ່ລະຄໍາຫມັ້ນສັນຍາໃນການແຈກຢາຍທີ່ແຕກຕ່າງກັນ, ໃຊ້ລະບົບການວິເຄາະແບບຄົງທີ່, ແລະລະຫັດຖືກຈັດຮູບແບບແລະເອກະສານເພື່ອເຮັດໃຫ້ການກວດສອບງ່າຍຂຶ້ນ.

ວິທີການໃນຕົວແມ່ນສະຫນອງໃຫ້ເພື່ອສະກັດຫ້ອງຮຽນຂອງຊ່ອງໂຫວ່ເຊັ່ນ: ບັນຫາ, ທີ່ກ່ຽວຂ້ອງ ມີ serialization ຂໍ້ມູນ, ບໍ່ປອດໄພ ການນໍາໃຊ້ຟັງຊັນ PHP mail(), ການຮົ່ວໄຫລຂອງເນື້ອໃນ Cookie ໃນລະຫວ່າງການໂຈມຕີ XSS, ບັນຫາເນື່ອງຈາກການໂຫຼດໄຟລ໌ທີ່ມີລະຫັດປະຕິບັດ (ຕົວຢ່າງ, ໃນຮູບແບບ. ຟາ), ການຜະລິດຈໍານວນ Random ທີ່ມີຄຸນນະພາບທີ່ບໍ່ດີແລະ ການທົດແທນ ໂຄງສ້າງ XML ບໍ່ຖືກຕ້ອງ.

ໂຫມດຕໍ່ໄປນີ້ໄດ້ຮັບການສະຫນັບສະຫນູນເພື່ອເພີ່ມຄວາມປອດໄພຂອງ PHP:

• ເປີດໃຊ້ທຸງ "ປອດໄພ" ແລະ "ດຽວກັນ" (ການປົກປ້ອງ CSRF) ໂດຍອັດຕະໂນມັດສຳລັບຄຸກກີ້, ການເຂົ້າລະຫັດ ຄຸກກີ;
• ກົດລະບຽບທີ່ກໍານົດໄວ້ໃນຕົວເພື່ອກໍານົດຮ່ອງຮອຍຂອງການໂຈມຕີແລະການປະນີປະນອມຂອງຄໍາຮ້ອງສະຫມັກ;
• ບັງຄັບໃຫ້ການເຄື່ອນໄຫວທົ່ວໂລກຂອງ "ຢ່າງເຄັ່ງຄັດ" (ຕົວຢ່າງ, ຂັດຂວາງຄວາມພະຍາຍາມທີ່ຈະລະບຸສະຕຣິງໃນເວລາທີ່ຄາດຫວັງວ່າຄ່າຈໍານວນເຕັມເປັນ argument) ແລະການປົກປ້ອງຕໍ່ກັບ ການຫມູນໃຊ້ປະເພດ;
• ການບລັອກເລີ່ມຕົ້ນ ຫໍ່ໂປໂຕຄອນ (ຕົວຢ່າງເຊັ່ນການຫ້າມ "phar://") ດ້ວຍບັນຊີຂາວທີ່ຊັດເຈນຂອງພວກເຂົາ;
• ການຫ້າມການດໍາເນີນການໄຟລ໌ທີ່ສາມາດຂຽນໄດ້;
• ບັນຊີລາຍຊື່ສີດໍາແລະສີຂາວສໍາລັບການ eval;
• ຕ້ອງການເພື່ອເປີດໃຊ້ການກວດສອບໃບຢັ້ງຢືນ TLS ເມື່ອໃຊ້
  curl;

• ເພີ່ມ HMAC ກັບວັດຖຸ serialized ເພື່ອຮັບປະກັນວ່າ deserialization ດຶງຂໍ້ມູນທີ່ເກັບໄວ້ໂດຍຄໍາຮ້ອງສະຫມັກຕົ້ນສະບັບ;
• ຮ້ອງຂໍຮູບແບບການບັນທຶກ;
• ການຂັດຂວາງການໂຫຼດໄຟລ໌ພາຍນອກໃນ libxml ຜ່ານການເຊື່ອມຕໍ່ໃນເອກະສານ XML;
• ຄວາມສາມາດໃນການເຊື່ອມຕໍ່ຕົວຈັດການພາຍນອກ (upload_validation) ເພື່ອກວດສອບແລະສະແກນໄຟລ໌ທີ່ອັບໂຫລດ;

ໂຄງ​ການ​ດັ່ງ​ກ່າວ​ໄດ້​ຖືກ​ສ້າງ​ຕັ້ງ​ຂຶ້ນ​ແລະ​ນໍາ​ໃຊ້​ເພື່ອ​ປົກ​ປັກ​ຮັກ​ສາ​ຜູ້​ຊົມ​ໃຊ້​ໃນ​ພື້ນ​ຖານ​ໂຄງ​ລ່າງ​ຂອງ​ຫນຶ່ງ​ໃນ​ການ​ປະ​ຕິ​ບັດ​ການ hosting ຝຣັ່ງ​ຂະ​ຫນາດ​ໃຫຍ່​. ມັນໄດ້ຖືກບັນທຶກໄວ້ວ່າພຽງແຕ່ເຊື່ອມຕໍ່ Snuffleupagus ຈະປົກປ້ອງຫຼາຍຊ່ອງໂຫວ່ອັນຕະລາຍທີ່ໄດ້ກໍານົດໃນປີນີ້ໃນ Drupal, WordPress ແລະ phpBB. ຊ່ອງໂຫວ່ໃນ Magento ແລະ Horde ສາມາດຖືກບລັອກໂດຍການເປີດໃຊ້ໂໝດ
"sp.readonly_exec.enable()".

ແຫຼ່ງຂໍ້ມູນ: opennet.ru