Snuffleupagus പ്രോജക്റ്റ് കേടുപാടുകൾ തടയുന്നതിനായി ഒരു PHP മൊഡ്യൂൾ വികസിപ്പിക്കുന്നു

പദ്ധതിയുടെ അതിരുകളിൽ സ്നഫ്ലുപാഗസ് വികസിപ്പിക്കുന്നു PHP7 ഇൻ്റർപ്രെറ്ററിലേക്ക് കണക്റ്റുചെയ്യുന്നതിനുള്ള ഒരു മൊഡ്യൂൾ, പരിസ്ഥിതിയുടെ സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിനും PHP ആപ്ലിക്കേഷനുകൾ പ്രവർത്തിപ്പിക്കുന്നതിൽ കേടുപാടുകൾ വരുത്തുന്ന സാധാരണ പിശകുകൾ തടയുന്നതിനും രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു. ദുർബലമായ ആപ്ലിക്കേഷൻ്റെ സോഴ്സ് കോഡ് മാറ്റാതെ തന്നെ നിർദ്ദിഷ്ട പ്രശ്നങ്ങൾ പരിഹരിക്കുന്നതിന് വെർച്വൽ പാച്ചുകൾ സൃഷ്ടിക്കാനും മൊഡ്യൂൾ നിങ്ങളെ അനുവദിക്കുന്നു, ഇത് എല്ലാ ഉപയോക്തൃ ആപ്ലിക്കേഷനുകളും കാലികമായി നിലനിർത്തുന്നത് അസാധ്യമായ മാസ് ഹോസ്റ്റിംഗ് സിസ്റ്റങ്ങളിൽ ഉപയോഗിക്കാൻ സൗകര്യപ്രദമാണ്. മൊഡ്യൂൾ സിയിൽ എഴുതിയിരിക്കുന്നു, ഒരു പങ്കിട്ട ലൈബ്രറിയുടെ രൂപത്തിൽ ബന്ധിപ്പിച്ചിരിക്കുന്നു ("extension=snuffleupagus.so" in php.ini) കൂടാതെ വിതരണം ചെയ്തത് LGPL 3.0 പ്രകാരം ലൈസൻസ്.

സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിന് സ്റ്റാൻഡേർഡ് ടെംപ്ലേറ്റുകൾ ഉപയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു നിയമ സംവിധാനം Snuffleupagus നൽകുന്നു, അല്ലെങ്കിൽ ഇൻപുട്ട് ഡാറ്റയും ഫംഗ്ഷൻ പാരാമീറ്ററുകളും നിയന്ത്രിക്കുന്നതിന് നിങ്ങളുടെ സ്വന്തം നിയമങ്ങൾ സൃഷ്ടിക്കുന്നു. ഉദാഹരണത്തിന്, "sp.disable_function.function("system").param("കമാൻഡ്").value_r("[$|;&`\\n]").drop();" ആപ്ലിക്കേഷൻ മാറ്റാതെ തന്നെ സിസ്റ്റം() ഫംഗ്ഷൻ ആർഗ്യുമെൻ്റുകളിൽ പ്രത്യേക പ്രതീകങ്ങളുടെ ഉപയോഗം പരിമിതപ്പെടുത്താൻ നിങ്ങളെ അനുവദിക്കുന്നു. അതുപോലെ, നിങ്ങൾക്ക് സൃഷ്ടിക്കാൻ കഴിയും വെർച്വൽ പാച്ചുകൾ അറിയപ്പെടുന്ന കേടുപാടുകൾ തടയാൻ.

ഡവലപ്പർമാർ നടത്തിയ പരിശോധനകൾ വിലയിരുത്തുമ്പോൾ, Snuffleupagus പ്രകടനം കുറയ്ക്കുന്നില്ല. സ്വന്തം സുരക്ഷ ഉറപ്പാക്കാൻ (സുരക്ഷാ ലെയറിലെ സാധ്യമായ കേടുപാടുകൾ ആക്രമണങ്ങളുടെ ഒരു അധിക വെക്‌ടറായി വർത്തിക്കും), പ്രോജക്റ്റ് വ്യത്യസ്ത വിതരണങ്ങളിൽ ഓരോ കമ്മിറ്റിൻ്റെയും സമഗ്രമായ പരിശോധന ഉപയോഗിക്കുന്നു, സ്റ്റാറ്റിക് വിശകലന സംവിധാനങ്ങൾ ഉപയോഗിക്കുന്നു, കൂടാതെ ഓഡിറ്റിംഗ് ലളിതമാക്കുന്നതിന് കോഡ് ഫോർമാറ്റ് ചെയ്യുകയും ഡോക്യുമെൻ്റ് ചെയ്യുകയും ചെയ്യുന്നു.

പ്രശ്‌നങ്ങൾ പോലുള്ള കേടുപാടുകളുടെ ക്ലാസുകൾ തടയുന്നതിന് ബിൽറ്റ്-ഇൻ രീതികൾ നൽകിയിട്ടുണ്ട്, ബന്ധപ്പെട്ട ഡാറ്റ സീരിയലൈസേഷനോടൊപ്പം, സുരക്ഷിതമല്ലാത്ത PHP മെയിൽ() ഫംഗ്‌ഷന്റെ ഉപയോഗം, XSS ആക്രമണ സമയത്ത് കുക്കി ഉള്ളടക്കങ്ങളുടെ ചോർച്ച, എക്‌സിക്യൂട്ടബിൾ കോഡ് ഉപയോഗിച്ച് ഫയലുകൾ ലോഡുചെയ്യുന്നത് മൂലമുള്ള പ്രശ്നങ്ങൾ (ഉദാഹരണത്തിന്, ഫോർമാറ്റിൽ phar), മോശം നിലവാരമുള്ള റാൻഡം നമ്പർ ജനറേഷൻ കൂടാതെ പകരംവയ്ക്കൽ തെറ്റായ XML നിർമ്മാണങ്ങൾ.

PHP സുരക്ഷ വർദ്ധിപ്പിക്കുന്നതിന് ഇനിപ്പറയുന്ന മോഡുകൾ പിന്തുണയ്ക്കുന്നു:

• കുക്കികൾക്കായി "സുരക്ഷിത", "സമസൈറ്റ്" (CSRF സംരക്ഷണം) ഫ്ലാഗുകൾ സ്വയമേവ പ്രവർത്തനക്ഷമമാക്കുക, എൻക്രിപ്ഷൻ കുക്കി;
• ആക്രമണങ്ങളുടെ അടയാളങ്ങൾ തിരിച്ചറിയുന്നതിനും ആപ്ലിക്കേഷനുകളുടെ വിട്ടുവീഴ്ച ചെയ്യുന്നതിനുമുള്ള ബിൽറ്റ്-ഇൻ നിയമങ്ങളുടെ കൂട്ടം;
• നിർബന്ധിത ആഗോള സജീവമാക്കൽ "കണിശമായ" (ഉദാഹരണത്തിന്, ഒരു പൂർണ്ണസംഖ്യ മൂല്യം ഒരു ആർഗ്യുമെന്റായി പ്രതീക്ഷിക്കുമ്പോൾ ഒരു സ്ട്രിംഗ് വ്യക്തമാക്കാനുള്ള ശ്രമത്തെ തടയുന്നു) കൂടാതെ പരിരക്ഷയും തരം കൃത്രിമത്വം;
• ഡിഫോൾട്ട് തടയൽ പ്രോട്ടോക്കോൾ റാപ്പറുകൾ (ഉദാഹരണത്തിന്, "phar://" നിരോധിക്കുന്നു) അവരുടെ വ്യക്തമായ വൈറ്റ്‌ലിസ്റ്റിംഗ്;
• എഴുതാൻ കഴിയുന്ന ഫയലുകൾ എക്സിക്യൂട്ട് ചെയ്യുന്നതിനുള്ള നിരോധനം;
• ഇവാലിന് ബ്ലാക്ക് ആൻഡ് വൈറ്റ് ലിസ്റ്റുകൾ;
• ഉപയോഗിക്കുമ്പോൾ TLS സർട്ടിഫിക്കറ്റ് പരിശോധന പ്രവർത്തനക്ഷമമാക്കേണ്ടതുണ്ട്
  ചുരുളൻ;

• ഒറിജിനൽ ആപ്ലിക്കേഷൻ സംഭരിച്ച ഡാറ്റ ഡീസിയലൈസേഷൻ വീണ്ടെടുക്കുന്നുവെന്ന് ഉറപ്പാക്കാൻ സീരിയലൈസ് ചെയ്ത ഒബ്‌ജക്റ്റുകളിലേക്ക് HMAC ചേർക്കുന്നു;
• ലോഗിംഗ് മോഡ് അഭ്യർത്ഥിക്കുക;
• XML പ്രമാണങ്ങളിലെ ലിങ്കുകൾ വഴി libxml-ൽ ബാഹ്യ ഫയലുകൾ ലോഡ് ചെയ്യുന്നത് തടയുന്നു;
• അപ്‌ലോഡ് ചെയ്ത ഫയലുകൾ പരിശോധിക്കുന്നതിനും സ്കാൻ ചെയ്യുന്നതിനും ബാഹ്യ ഹാൻഡ്‌ലറുകൾ (upload_validation) ബന്ധിപ്പിക്കുന്നതിനുള്ള കഴിവ്;

വലിയ ഫ്രഞ്ച് ഹോസ്റ്റിംഗ് ഓപ്പറേറ്റർമാരിൽ ഒരാളുടെ ഇൻഫ്രാസ്ട്രക്ചറിലെ ഉപയോക്താക്കളെ സംരക്ഷിക്കുന്നതിനാണ് പ്രോജക്റ്റ് സൃഷ്ടിക്കുകയും ഉപയോഗിക്കുകയും ചെയ്തത്. ഇത് ശ്രദ്ധിക്കപ്പെടുന്നുSnuffleupagus-നെ ബന്ധിപ്പിക്കുന്നത് ഈ വർഷം Drupal, WordPress, phpBB എന്നിവയിൽ കണ്ടെത്തിയ അപകടകരമായ പല കേടുപാടുകളിൽ നിന്നും സംരക്ഷിക്കും. മോഡ് പ്രവർത്തനക്ഷമമാക്കുന്നതിലൂടെ Magento, Horde എന്നിവയിലെ കേടുപാടുകൾ തടയാനാകും
"sp.readonly_exec.enable()".

അവലംബം: opennet.ru