PHP ആപ്ലിക്കേഷനുകളിലെ കേടുപാടുകൾ തടയുന്നതിനുള്ള ഒരു മൊഡ്യൂളായ Snuffleupagus 0.5.1-ന്റെ റിലീസ്

ഒരു വർഷത്തെ വികസനത്തിന് ശേഷം പ്രസിദ്ധീകരിച്ചു പദ്ധതി പ്രകാശനം Snuffleupagus 0.5.1, ഇത് പരിസ്ഥിതിയുടെ സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിനും PHP ആപ്ലിക്കേഷനുകൾ പ്രവർത്തിപ്പിക്കുന്നതിൽ കേടുപാടുകൾ വരുത്തുന്ന സാധാരണ പിശകുകൾ തടയുന്നതിനും PHP7 ഇന്റർപ്രെറ്ററിന് ഒരു മൊഡ്യൂൾ നൽകുന്നു. സൃഷ്ടിക്കാനും മൊഡ്യൂൾ നിങ്ങളെ അനുവദിക്കുന്നു വെർച്വൽ പാച്ചുകൾ ദുർബലമായ ആപ്ലിക്കേഷന്റെ സോഴ്സ് കോഡ് മാറ്റാതെ തന്നെ നിർദ്ദിഷ്ട പ്രശ്നങ്ങൾ ഇല്ലാതാക്കാൻ, എല്ലാ ഉപയോക്തൃ ആപ്ലിക്കേഷനുകളും കാലികമായി നിലനിർത്തുന്നത് അസാധ്യമായ മാസ് ഹോസ്റ്റിംഗ് സിസ്റ്റങ്ങളിൽ ഉപയോഗിക്കാൻ സൗകര്യപ്രദമാണ്. മൊഡ്യൂളിന്റെ ഓവർഹെഡ് ചെലവ് വളരെ കുറവാണെന്ന് കണക്കാക്കുന്നു. മൊഡ്യൂൾ സിയിൽ എഴുതിയിരിക്കുന്നു, ഒരു പങ്കിട്ട ലൈബ്രറിയുടെ രൂപത്തിൽ ബന്ധിപ്പിച്ചിരിക്കുന്നു (php.ini-ൽ "extension=snuffleupagus.so") കൂടാതെ വിതരണം ചെയ്തത് LGPL 3.0 പ്രകാരം ലൈസൻസ്.

സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിന് സ്റ്റാൻഡേർഡ് ടെംപ്ലേറ്റുകൾ ഉപയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു നിയമ സംവിധാനം Snuffleupagus നൽകുന്നു, അല്ലെങ്കിൽ ഇൻപുട്ട് ഡാറ്റയും ഫംഗ്ഷൻ പാരാമീറ്ററുകളും നിയന്ത്രിക്കുന്നതിന് നിങ്ങളുടെ സ്വന്തം നിയമങ്ങൾ സൃഷ്ടിക്കുന്നു. ഉദാഹരണത്തിന്, "sp.disable_function.function("system").param("കമാൻഡ്").value_r("[$|;&`\\n]").drop();" ആപ്ലിക്കേഷൻ മാറ്റാതെ തന്നെ സിസ്റ്റം() ഫംഗ്ഷൻ ആർഗ്യുമെന്റുകളിൽ പ്രത്യേക പ്രതീകങ്ങളുടെ ഉപയോഗം പരിമിതപ്പെടുത്താൻ നിങ്ങളെ അനുവദിക്കുന്നു. പ്രശ്‌നങ്ങൾ പോലുള്ള കേടുപാടുകളുടെ ക്ലാസുകൾ തടയുന്നതിന് ബിൽറ്റ്-ഇൻ രീതികൾ നൽകിയിട്ടുണ്ട്, ബന്ധപ്പെട്ട ഡാറ്റ സീരിയലൈസേഷനോടൊപ്പം, സുരക്ഷിതമല്ലാത്ത PHP മെയിൽ() ഫംഗ്‌ഷന്റെ ഉപയോഗം, XSS ആക്രമണ സമയത്ത് കുക്കി ഉള്ളടക്കങ്ങളുടെ ചോർച്ച, എക്‌സിക്യൂട്ടബിൾ കോഡ് ഉപയോഗിച്ച് ഫയലുകൾ ലോഡുചെയ്യുന്നത് മൂലമുള്ള പ്രശ്നങ്ങൾ (ഉദാഹരണത്തിന്, ഫോർമാറ്റിൽ phar), മോശം നിലവാരമുള്ള റാൻഡം നമ്പർ ജനറേഷൻ കൂടാതെ പകരംവയ്ക്കൽ തെറ്റായ XML നിർമ്മാണങ്ങൾ.

Snuffleupagus നൽകുന്ന PHP സുരക്ഷാ മെച്ചപ്പെടുത്തൽ മോഡുകൾ:

• കുക്കികൾക്കായി "സുരക്ഷിത", "സമസൈറ്റ്" (CSRF സംരക്ഷണം) ഫ്ലാഗുകൾ സ്വയമേവ പ്രവർത്തനക്ഷമമാക്കുക, എൻക്രിപ്ഷൻ കുക്കി;
• ആക്രമണങ്ങളുടെ അടയാളങ്ങൾ തിരിച്ചറിയുന്നതിനും ആപ്ലിക്കേഷനുകളുടെ വിട്ടുവീഴ്ച ചെയ്യുന്നതിനുമുള്ള ബിൽറ്റ്-ഇൻ നിയമങ്ങളുടെ കൂട്ടം;
• നിർബന്ധിത ആഗോള സജീവമാക്കൽ "കണിശമായ" (ഉദാഹരണത്തിന്, ഒരു പൂർണ്ണസംഖ്യ മൂല്യം ഒരു ആർഗ്യുമെന്റായി പ്രതീക്ഷിക്കുമ്പോൾ ഒരു സ്ട്രിംഗ് വ്യക്തമാക്കാനുള്ള ശ്രമത്തെ തടയുന്നു) കൂടാതെ പരിരക്ഷയും തരം കൃത്രിമത്വം;
• ഡിഫോൾട്ട് തടയൽ പ്രോട്ടോക്കോൾ റാപ്പറുകൾ (ഉദാഹരണത്തിന്, "phar://" നിരോധിക്കുന്നു) അവരുടെ വ്യക്തമായ വൈറ്റ്‌ലിസ്റ്റിംഗ്;
• എഴുതാൻ കഴിയുന്ന ഫയലുകൾ എക്സിക്യൂട്ട് ചെയ്യുന്നതിനുള്ള നിരോധനം;
• ഇവാലിന് ബ്ലാക്ക് ആൻഡ് വൈറ്റ് ലിസ്റ്റുകൾ;
• ഉപയോഗിക്കുമ്പോൾ TLS സർട്ടിഫിക്കറ്റ് പരിശോധന പ്രവർത്തനക്ഷമമാക്കേണ്ടതുണ്ട്
  ചുരുളൻ;
• ഒറിജിനൽ ആപ്ലിക്കേഷൻ സംഭരിച്ച ഡാറ്റ ഡീസിയലൈസേഷൻ വീണ്ടെടുക്കുന്നുവെന്ന് ഉറപ്പാക്കാൻ സീരിയലൈസ് ചെയ്ത ഒബ്‌ജക്റ്റുകളിലേക്ക് HMAC ചേർക്കുന്നു;
• ലോഗിംഗ് മോഡ് അഭ്യർത്ഥിക്കുക;
• XML പ്രമാണങ്ങളിലെ ലിങ്കുകൾ വഴി libxml-ൽ ബാഹ്യ ഫയലുകൾ ലോഡ് ചെയ്യുന്നത് തടയുന്നു;
• അപ്‌ലോഡ് ചെയ്ത ഫയലുകൾ പരിശോധിക്കുന്നതിനും സ്കാൻ ചെയ്യുന്നതിനും ബാഹ്യ ഹാൻഡ്‌ലറുകൾ (upload_validation) ബന്ധിപ്പിക്കുന്നതിനുള്ള കഴിവ്;

അതിൽ മാറ്റങ്ങൾ പുതിയ റിലീസിൽ: PHP 7.4-നുള്ള മെച്ചപ്പെട്ട പിന്തുണയും നിലവിൽ വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്ന PHP 8 ബ്രാഞ്ചുമായുള്ള അനുയോജ്യതയും syslog വഴി ഇവന്റുകൾ ലോഗ് ചെയ്യാനുള്ള കഴിവ് ചേർത്തു (sp.log_media നിർദ്ദേശം ഉൾപ്പെടുത്തുന്നതിനായി നിർദ്ദേശിക്കപ്പെട്ടിരിക്കുന്നു, അതിന് php അല്ലെങ്കിൽ syslog മൂല്യങ്ങൾ എടുക്കാം). അടുത്തിടെ കണ്ടെത്തിയ കേടുപാടുകൾക്കും വെബ് ആപ്ലിക്കേഷനുകൾക്കെതിരായ ആക്രമണ സാങ്കേതിക വിദ്യകൾക്കുമുള്ള പുതിയ നിയമങ്ങൾ ഉൾപ്പെടുത്തുന്നതിന് സ്ഥിരസ്ഥിതി നിയമങ്ങൾ അപ്‌ഡേറ്റുചെയ്‌തു. MacOS-നുള്ള മെച്ചപ്പെട്ട പിന്തുണയും GitLab അടിസ്ഥാനമാക്കിയുള്ള തുടർച്ചയായ ഇന്റഗ്രേഷൻ പ്ലാറ്റ്‌ഫോമിന്റെ വിപുലമായ ഉപയോഗവും.

അവലംബം: opennet.ru