Pēc gada attīstības projekta izlaidums , предоставляющего модуль к интерпретатору PHP7 для повышения безопасности окружения и блокирования типовых ошибок, приводящих к появлению уязвимостей в выполняемых PHP-приложениях. Модуль также позволяет создавать для устранения конкретных проблем без изменения исходных текстов уязвимого приложения, что удобно для применения в системах массового хостинга, на которых невозможно добиться поддержания всех пользовательских приложений в актуальном виде. Накладные расходы от работы модуля оцениваются как минимальные. Модуль написан на языке Си, подключается в форме разделяемой библиотеки («extension=snuffleupagus.so» в php.ini) и licencēts saskaņā ar LGPL 3.0.
Snuffleupagus предоставляет систему правил, позволяющую использовать как типовые шаблоны для повышения защиты, так и создавать собственные правила для контроля входных данных и параметров функций. Например, правило «sp.disable_function.function(«system»).param(«command»).value_r(«[$|;&`\\n]»).drop();» позволяет не изменяя приложения ограничить использование спецсимволов в аргументах функции system(). Предоставляются встроенные методы для блокирования таких классов уязвимоcтей, как проблемы, ar datu serializāciju, PHP mail() funkcijas izmantošana, sīkfailu satura noplūde XSS uzbrukumu laikā, problēmas, kas saistītas ar failu ielādi ar izpildāmu kodu (piemēram, formātā ), sliktas kvalitātes nejaušo skaitļu ģenerēšana un nepareizas XML konstrukcijas.
Предоставляемые в Snuffleupagus режимы повышения защиты PHP:
- Automātiski iespējot "drošu" un "samesite" (CSRF aizsardzība) karogus sīkfailiem, Cepums;
- Iebūvēts noteikumu kopums, lai identificētu uzbrukumu pēdas un lietojumprogrammu apdraudējumu;
- Piespiedu globālā aktivizēšana" (piemēram, bloķē mēģinājumu norādīt virkni, ja kā argumentu sagaida vesela skaitļa vērtību) un aizsardzību pret ;
- Bloķēšana pēc noklusējuma (piemēram, aizliedzot "phar://") ar to nepārprotamu balto sarakstu;
- Aizliegums izpildīt ierakstāmus failus;
- eval melnie un baltie saraksti;
- Nepieciešams, lai lietošanas laikā iespējotu TLS sertifikātu pārbaudi
čokurošanās; - HMAC pievienošana serializētiem objektiem, lai nodrošinātu, ka deserializācija izgūst sākotnējās lietojumprogrammas saglabātos datus;
- Pieprasīt reģistrēšanas režīmu;
- Ārējo failu ielādes bloķēšana libxml, izmantojot saites XML dokumentos;
- Iespēja savienot ārējos apdarinātājus (upload_validation), lai pārbaudītu un skenētu augšupielādētos failus;
Vidū в новом выпуске: Улучшена поддержка PHP 7.4 и реализована совместимость с находящейся в разработке веткой PHP 8. Добавлена возможность журналирования событий через syslog (для включения предложена директива sp.log_media, которая может принимать значения php или syslog). Обновлён предлагаемый по умолчанию набор правил, в который добавлены новые правила для выявленных в последнее время уязвимостей и техник атак на web-приложения. Улучшена поддержка macOS и расширено применение платформы непрерывной интеграции на базе GitLab.
Avots: opennet.ru