Објавување на Snuffleupagus 0.5.1, модул за блокирање на ранливости во PHP апликациите

По една година развој објавено објавување на проектот Snuffleupagus 0.5.1, кој обезбедува модул за преведувачот PHP7 за подобрување на безбедноста на околината и блокирање на вообичаените грешки кои водат до пропусти во извршувањето на PHP апликациите. Модулот исто така ви овозможува да креирате виртуелни закрпи да се елиминираат специфичните проблеми без промена на изворниот код на ранливата апликација, што е погодно за употреба во масовни системи за хостирање каде што е невозможно да се ажурираат сите кориснички апликации. Режиските трошоци на модулот се проценуваат дека се минимални. Модулот е напишан во C, поврзан е во форма на заедничка библиотека („extension=snuffleupagus.so“ во php.ini) и дистрибуирани од лиценцирана според LGPL 3.0.

Snuffleupagus обезбедува систем на правила што ви овозможува да користите стандардни шаблони за да ја подобрите безбедноста или да креирате сопствени правила за да ги контролирате влезните податоци и функционалните параметри. На пример, правилото „sp.disable_function.function(„систем“).param(„команда“).value_r(„[$|;&`\\n]“).drop();“ ви овозможува да ја ограничите употребата на специјални знаци во аргументите на функцијата system() без да ја менувате апликацијата. Обезбедени се вградени методи за блокирање на класи на пропусти како што се проблеми, поврзани со серијализација на податоци, небезбедни употреба на функцијата PHP mail(), истекување на содржината на колачињата за време на нападите на XSS, проблеми поради вчитување датотеки со извршна шифра (на пример, во формат фар), неквалитетно генерирање на случаен број и замена неточни XML конструкции.

Режими за подобрување на безбедноста на PHP обезбедени од Snuffleupagus:

• Автоматски овозможете ги знаменцата „безбедна“ и „иста локација“ (CSRF заштита) за колачиња, енкрипција Колаче;
• Вграден сет на правила за идентификување на траги од напади и компромиси на апликациите;
• Присилно глобално активирање на „строги" (на пример, блокира обид да се наведе низа кога се очекува цел број како аргумент) и заштита од манипулација со типот;
• Стандардно блокирање обвивки за протокол (на пример, забрана на „phar://“) со нивната експлицитна бела листа;
• Забрана за извршување датотеки што се запишуваат;
• Црно-бели списоци за eval;
• Потребно е за да се овозможи проверка на сертификатот TLS при користење
  навивам;
• Додавање HMAC на сериски објекти за да се осигури дека десериализацијата ги враќа податоците зачувани од оригиналната апликација;
• Побарајте режим на евиденција;
• Блокирање на вчитување на надворешни датотеки во libxml преку врски во XML документи;
• Можност за поврзување на надворешни ракувачи (upload_validation) за проверка и скенирање на поставени датотеки;

Меѓу промени во новото издание: Подобрена поддршка за PHP 7.4 и имплементирана компатибилност со гранката PHP 8 која моментално е во развој Додадена е способност за евидентирање на настани преку syslog (директивата sp.log_media е предложена за вклучување, која може да земе вредности php или syslog). Стандардниот сет на правила е ажуриран за да вклучи нови правила за неодамна идентификуваните пропусти и техники за напад против веб-апликации. Подобрена поддршка за macOS и проширена употреба на платформата за континуирана интеграција базирана на GitLab.

Извор: opennet.ru