Проектот Snuffleupagus развива PHP модул за блокирање на ранливости

Во границите на проектот snuffleupagus се развива модул за поврзување со преведувачот PHP7, дизајниран да ја подобри безбедноста на околината и да ги блокира вообичаените грешки кои водат до пропусти во извршувањето на PHP апликациите. Модулот исто така ви овозможува да креирате виртуелни закрпи за да ги поправите специфичните проблеми без да го менувате изворниот код на ранливата апликација, што е погодно за употреба во системи за масовно хостирање каде што е невозможно да се ажурираат сите кориснички апликации. Модулот е напишан во C, поврзан е во форма на заедничка библиотека („extension=snuffleupagus.so“ во php.ini) и дистрибуирани од лиценцирана според LGPL 3.0.

Snuffleupagus обезбедува систем на правила што ви овозможува да користите стандардни шаблони за да ја подобрите безбедноста или да креирате сопствени правила за да ги контролирате влезните податоци и функционалните параметри. На пример, правилото „sp.disable_function.function(„систем“).param(„команда“).value_r(„[$|;&`\\n]“).drop();“ ви овозможува да ја ограничите употребата на специјални знаци во аргументите на функцијата system() без да ја менувате апликацијата. Слично на тоа, можете да креирате виртуелни закрпи да ги блокира познатите пропусти.

Судејќи според тестовите спроведени од програмерите, Snuffleupagus тешко ги намалува перформансите. За да се обезбеди сопствена безбедност (можните пропусти во безбедносниот слој може да послужат како дополнителен вектор за напади), проектот користи темелно тестирање на секој commit во различни дистрибуции, користи системи за статичка анализа, а кодот е форматиран и документиран за да се поедностави ревизијата.

Обезбедени се вградени методи за блокирање на класи на пропусти како што се проблеми, поврзани со серијализација на податоци, небезбедни употреба на функцијата PHP mail(), истекување на содржината на колачињата за време на нападите на XSS, проблеми поради вчитување датотеки со извршна шифра (на пример, во формат фар), неквалитетно генерирање на случаен број и замена неточни XML конструкции.

Следниве режими се поддржани за подобрување на безбедноста на PHP:

• Автоматски овозможете ги знаменцата „безбедна“ и „иста локација“ (CSRF заштита) за колачиња, енкрипција Колаче;
• Вграден сет на правила за идентификување на траги од напади и компромиси на апликациите;
• Присилно глобално активирање на „строги" (на пример, блокира обид да се наведе низа кога се очекува цел број како аргумент) и заштита од манипулација со типот;
• Стандардно блокирање обвивки за протокол (на пример, забрана на „phar://“) со нивната експлицитна бела листа;
• Забрана за извршување датотеки што се запишуваат;
• Црно-бели списоци за eval;
• Потребно е за да се овозможи проверка на сертификатот TLS при користење
  навивам;

• Додавање HMAC на сериски објекти за да се осигури дека десериализацијата ги враќа податоците зачувани од оригиналната апликација;
• Побарајте режим на евиденција;
• Блокирање на вчитување на надворешни датотеки во libxml преку врски во XML документи;
• Можност за поврзување на надворешни ракувачи (upload_validation) за проверка и скенирање на поставени датотеки;

Проектот е создаден и искористен за заштита на корисниците во инфраструктурата на еден од големите француски хостинг оператори. Забележано едека едноставното поврзување на Snuffleupagus ќе заштити од многу опасните пропусти идентификувани оваа година во Drupal, WordPress и phpBB. Ранливостите во Magento и Horde може да се блокираат со овозможување на режимот
"sp.readonly_exec.enable()".

Извор: opennet.ru