स्नफल्युपॅगस 0.5.1 चे प्रकाशन, PHP ऍप्लिकेशन्समधील भेद्यता अवरोधित करण्यासाठी एक मॉड्यूल

विकासाच्या एका वर्षानंतर प्रकाशित प्रकल्प प्रकाशन स्नफलेपॅगस ०.५.१, जे PHP7 इंटरप्रिटरसाठी वातावरणाची सुरक्षा सुधारण्यासाठी आणि PHP ऍप्लिकेशन्स चालवण्यामध्ये भेद्यता निर्माण करणार्‍या सामान्य त्रुटींना अवरोधित करण्यासाठी एक मॉड्यूल प्रदान करते. मॉड्यूल आपल्याला तयार करण्यास देखील अनुमती देते आभासी पॅच असुरक्षित अनुप्रयोगाचा स्त्रोत कोड न बदलता विशिष्ट समस्या दूर करण्यासाठी, जे मास होस्टिंग सिस्टममध्ये वापरण्यासाठी सोयीस्कर आहे जेथे सर्व वापरकर्ता अनुप्रयोग अद्ययावत ठेवणे अशक्य आहे. मॉड्यूलचा ओव्हरहेड खर्च किमान असण्याचा अंदाज आहे. मॉड्यूल C मध्ये लिहिलेले आहे, सामायिक लायब्ररीच्या स्वरूपात जोडलेले आहे (php.ini मध्ये “extension=snuffleupagus.so”) आणि द्वारा वितरित LGPL 3.0 अंतर्गत परवानाकृत.

Snuffleupagus एक नियम प्रणाली प्रदान करते जी तुम्हाला सुरक्षितता सुधारण्यासाठी मानक टेम्पलेट्स वापरण्याची किंवा इनपुट डेटा आणि फंक्शन पॅरामीटर्स नियंत्रित करण्यासाठी तुमचे स्वतःचे नियम तयार करण्यास अनुमती देते. उदाहरणार्थ, नियम “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” ॲप्लिकेशन न बदलता system() फंक्शन आर्ग्युमेंटमध्‍ये विशेष वर्णांचा वापर मर्यादित करू देते. असुरक्षिततेचे वर्ग अवरोधित करण्यासाठी अंगभूत पद्धती प्रदान केल्या जातात जसे की समस्या, संबंधित डेटा क्रमवारीसह, असुरक्षित PHP मेल() फंक्शनचा वापर, XSS हल्ल्यांदरम्यान कुकी सामग्रीची गळती, एक्झिक्युटेबल कोडसह फाइल्स लोड केल्यामुळे समस्या (उदाहरणार्थ, फॉरमॅटमध्ये phar), खराब दर्जाची यादृच्छिक संख्या निर्मिती आणि बदली चुकीची XML रचना.

Snuffleupagus द्वारे प्रदान केलेले PHP सुरक्षा वर्धित मोड:

• कुकीजसाठी "सुरक्षित" आणि "समानसाइट" (CSRF संरक्षण) ध्वज स्वयंचलितपणे सक्षम करा, एनक्रिप्शन कुकी;
• हल्ल्यांचे ट्रेस आणि ऍप्लिकेशन्सची तडजोड ओळखण्यासाठी बिल्ट-इन नियमांचा संच;
• सक्तीचे जागतिक सक्रियकरण "कठोर" (उदाहरणार्थ, युक्तिवाद म्हणून पूर्णांक मूल्याची अपेक्षा करताना स्ट्रिंग निर्दिष्ट करण्याचा प्रयत्न अवरोधित करते) आणि त्यापासून संरक्षण प्रकार हाताळणी;
• डीफॉल्टनुसार अवरोधित करणे प्रोटोकॉल रॅपर्स (उदाहरणार्थ, "phar://" वर बंदी घालणे) त्यांच्या स्पष्ट श्वेतसूचीसह;
• लिहिण्यायोग्य फाइल्स कार्यान्वित करण्यास मनाई;
• eval साठी काळ्या आणि पांढर्या याद्या;
• वापरताना TLS प्रमाणपत्र तपासणी सक्षम करणे आवश्यक आहे
  कर्ल;
• डीसीरियलायझेशन मूळ ऍप्लिकेशनद्वारे संग्रहित डेटा पुनर्प्राप्त करते याची खात्री करण्यासाठी अनुक्रमित वस्तूंमध्ये HMAC जोडणे;
• लॉगिंग मोडची विनंती करा;
• XML दस्तऐवजांमधील दुव्यांद्वारे libxml मध्ये बाह्य फाइल्स लोड करणे अवरोधित करणे;
• अपलोड केलेल्या फायली तपासण्यासाठी आणि स्कॅन करण्यासाठी बाह्य हँडलर (upload_validation) कनेक्ट करण्याची क्षमता;

यापैकी बदल नवीन रिलीझमध्ये: PHP 7.4 साठी सुधारित समर्थन आणि सध्या विकासात असलेल्या PHP 8 शाखेसह सुसंगतता लागू केली. syslog द्वारे इव्हेंट लॉग करण्याची क्षमता जोडली (sp.log_media निर्देश समाविष्ट करण्यासाठी प्रस्तावित आहे, जे php किंवा syslog मूल्ये घेऊ शकतात). नुकत्याच ओळखल्या गेलेल्या भेद्यता आणि वेब ऍप्लिकेशन्सवर हल्ला करण्याच्या तंत्रांसाठी नवीन नियम समाविष्ट करण्यासाठी नियमांचा डीफॉल्ट संच अद्यतनित केला गेला आहे. MacOS साठी सुधारित समर्थन आणि GitLab वर आधारित सतत एकीकरण प्लॅटफॉर्मचा विस्तारित वापर.

स्त्रोत: opennet.ru