Snuffleupagus प्रकल्प भेद्यता अवरोधित करण्यासाठी PHP मॉड्यूल विकसित करत आहे

प्रकल्पाच्या हद्दीत स्नफ्लूपॅगस विकसित होते PHP7 इंटरप्रिटरशी कनेक्ट करण्यासाठी एक मॉड्यूल, पर्यावरणाची सुरक्षा सुधारण्यासाठी आणि PHP ऍप्लिकेशन्स चालवण्यामध्ये भेद्यता निर्माण करणाऱ्या सामान्य त्रुटींना अवरोधित करण्यासाठी डिझाइन केलेले आहे. मॉड्यूल तुम्हाला असुरक्षित अॅप्लिकेशनचा सोर्स कोड न बदलता विशिष्ट समस्यांचे निराकरण करण्यासाठी आभासी पॅचेस तयार करण्याची परवानगी देते, जे मास होस्टिंग सिस्टममध्ये वापरण्यासाठी सोयीस्कर आहे जेथे सर्व वापरकर्ता अनुप्रयोग अद्ययावत ठेवणे अशक्य आहे. मॉड्यूल C मध्ये लिहिलेले आहे, सामायिक लायब्ररीच्या स्वरूपात जोडलेले आहे (php.ini मध्ये “extension=snuffleupagus.so”) आणि द्वारा वितरित LGPL 3.0 अंतर्गत परवानाकृत.

Snuffleupagus एक नियम प्रणाली प्रदान करते जी तुम्हाला सुरक्षितता सुधारण्यासाठी मानक टेम्पलेट्स वापरण्याची किंवा इनपुट डेटा आणि फंक्शन पॅरामीटर्स नियंत्रित करण्यासाठी तुमचे स्वतःचे नियम तयार करण्यास अनुमती देते. उदाहरणार्थ, नियम “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” ॲप्लिकेशन न बदलता system() फंक्शन आर्ग्युमेंटमध्‍ये विशेष वर्णांचा वापर मर्यादित करू देते. त्याचप्रमाणे, आपण तयार करू शकता आभासी पॅच ज्ञात भेद्यता अवरोधित करण्यासाठी.

विकसकांद्वारे घेतलेल्या चाचण्यांनुसार, स्नफल्युपॅगस क्वचितच कार्यक्षमता कमी करते. स्वतःची सुरक्षितता सुनिश्चित करण्यासाठी (सुरक्षा स्तरातील संभाव्य असुरक्षा हल्ल्यांसाठी अतिरिक्त वेक्टर म्हणून काम करू शकतात), प्रकल्प वेगवेगळ्या वितरणांमध्ये प्रत्येक कमिटची कसून चाचणी वापरतो, स्थिर विश्लेषण प्रणाली वापरतो आणि ऑडिटिंग सुलभ करण्यासाठी कोडचे स्वरूपन आणि दस्तऐवजीकरण केले जाते.

असुरक्षा वर्ग अवरोधित करण्यासाठी अंगभूत पद्धती प्रदान केल्या जातात जसे की समस्या, संबंधित डेटा क्रमवारीसह, असुरक्षित PHP मेल() फंक्शनचा वापर, XSS हल्ल्यांदरम्यान कुकी सामग्रीची गळती, एक्झिक्युटेबल कोडसह फाइल्स लोड केल्यामुळे समस्या (उदाहरणार्थ, फॉरमॅटमध्ये phar), खराब दर्जाची यादृच्छिक संख्या निर्मिती आणि बदली चुकीची XML रचना.

PHP सुरक्षा वाढविण्यासाठी खालील मोड समर्थित आहेत:

• कुकीजसाठी "सुरक्षित" आणि "समानसाइट" (CSRF संरक्षण) ध्वज स्वयंचलितपणे सक्षम करा, एनक्रिप्शन कुकी;
• हल्ल्यांचे ट्रेस आणि ऍप्लिकेशन्सची तडजोड ओळखण्यासाठी बिल्ट-इन नियमांचा संच;
• सक्तीचे जागतिक सक्रियकरण "कठोर" (उदाहरणार्थ, युक्तिवाद म्हणून पूर्णांक मूल्याची अपेक्षा करताना स्ट्रिंग निर्दिष्ट करण्याचा प्रयत्न अवरोधित करते) आणि त्यापासून संरक्षण प्रकार हाताळणी;
• डीफॉल्टनुसार अवरोधित करणे प्रोटोकॉल रॅपर्स (उदाहरणार्थ, "phar://" वर बंदी घालणे) त्यांच्या स्पष्ट श्वेतसूचीसह;
• लिहिण्यायोग्य फाइल्स कार्यान्वित करण्यास मनाई;
• eval साठी काळ्या आणि पांढर्या याद्या;
• वापरताना TLS प्रमाणपत्र तपासणी सक्षम करणे आवश्यक आहे
  कर्ल;

• डीसीरियलायझेशन मूळ ऍप्लिकेशनद्वारे संग्रहित डेटा पुनर्प्राप्त करते याची खात्री करण्यासाठी अनुक्रमित वस्तूंमध्ये HMAC जोडणे;
• लॉगिंग मोडची विनंती करा;
• XML दस्तऐवजांमधील दुव्यांद्वारे libxml मध्ये बाह्य फाइल्स लोड करणे अवरोधित करणे;
• अपलोड केलेल्या फायली तपासण्यासाठी आणि स्कॅन करण्यासाठी बाह्य हँडलर (upload_validation) कनेक्ट करण्याची क्षमता;

मोठ्या फ्रेंच होस्टिंग ऑपरेटरपैकी एकाच्या पायाभूत सुविधांमध्ये वापरकर्त्यांचे संरक्षण करण्यासाठी हा प्रकल्प तयार केला गेला आणि वापरला गेला. याची नोंद आहेSnuffleupagus ला फक्त कनेक्ट केल्याने Drupal, WordPress आणि phpBB मध्ये या वर्षी ओळखल्या गेलेल्या अनेक धोकादायक असुरक्षांपासून संरक्षण होईल. मोड सक्षम करून Magento आणि Horde मधील भेद्यता अवरोधित केल्या जाऊ शकतात
"sp.readonly_exec.enable()".

स्त्रोत: opennet.ru