Snuffleupagus परियोजनाले कमजोरीहरू रोक्नको लागि PHP मोड्युल विकास गर्दैछ

परियोजनाको सीमानामा snuffleupagus विकास गर्दैछ PHP7 दोभाषेसँग जडान गर्नको लागि मोड्युल, वातावरणको सुरक्षा सुधार गर्न र PHP अनुप्रयोगहरू चलाउनमा कमजोरीहरू निम्त्याउने सामान्य त्रुटिहरूलाई रोक्नको लागि डिजाइन गरिएको। मोड्युलले तपाईंलाई कमजोर अनुप्रयोगको स्रोत कोड परिवर्तन नगरी विशेष समस्याहरू समाधान गर्न भर्चुअल प्याचहरू सिर्जना गर्न अनुमति दिन्छ, जुन मास होस्टिङ प्रणालीहरूमा प्रयोगको लागि सुविधाजनक छ जहाँ सबै प्रयोगकर्ता अनुप्रयोगहरू अद्यावधिक राख्न असम्भव छ। मोड्युल C मा लेखिएको छ, साझा पुस्तकालयको रूपमा जडान गरिएको छ (php.ini मा "extension=snuffleupagus.so") र द्वारा वितरित LGPL 3.0 अन्तर्गत इजाजतपत्र प्राप्त।

Snuffleupagus ले एक नियम प्रणाली प्रदान गर्दछ जसले तपाईंलाई सुरक्षा सुधार गर्न मानक टेम्प्लेटहरू प्रयोग गर्न अनुमति दिन्छ, वा इनपुट डेटा र प्रकार्य प्यारामिटरहरू नियन्त्रण गर्न आफ्नै नियमहरू सिर्जना गर्न अनुमति दिन्छ। उदाहरण को लागी, नियम "sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();" तपाइँलाई अनुप्रयोग परिवर्तन नगरी प्रणाली() प्रकार्य तर्कहरूमा विशेष क्यारेक्टरहरूको प्रयोग सीमित गर्न अनुमति दिन्छ। त्यसै गरी, तपाईं सिर्जना गर्न सक्नुहुन्छ भर्चुअल प्याचहरू ज्ञात कमजोरीहरू रोक्न।

विकासकर्ताहरू द्वारा आयोजित परीक्षणहरू द्वारा न्याय गर्दै, Snuffleupagus ले प्रदर्शनलाई कम गर्दैन। यसको आफ्नै सुरक्षा सुनिश्चित गर्न (सुरक्षा तहमा सम्भावित कमजोरीहरूले आक्रमणहरूको लागि अतिरिक्त भेक्टरको रूपमा काम गर्न सक्छ), परियोजनाले विभिन्न वितरणहरूमा प्रत्येक प्रतिबद्धताको पूर्ण परीक्षण प्रयोग गर्दछ, स्थिर विश्लेषण प्रणालीहरू प्रयोग गर्दछ, र कोडलाई ढाँचाबद्ध गरिएको छ र लेखा परीक्षणलाई सरल बनाउन दस्तावेज गरिएको छ।

बिल्ट-इन विधिहरू कमजोरीहरूको वर्गहरू ब्लक गर्न प्रदान गरिन्छ जस्तै मुद्दाहरू, सम्बन्धित डाटा क्रमिकरण संग, असुरक्षित PHP मेल() प्रकार्यको प्रयोग, XSS आक्रमणको समयमा कुकी सामग्रीको चुहावट, कार्यान्वयनयोग्य कोडसँग फाइलहरू लोड गर्दा समस्याहरू (उदाहरणका लागि, ढाँचामा phar), खराब गुणस्तर अनियमित संख्या उत्पादन र प्रतिस्थापन गलत XML निर्माण।

निम्न मोडहरू PHP सुरक्षा बृद्धि गर्न समर्थित छन्:

• कुकीहरूका लागि "सुरक्षित" र "समानसाइट" (CSRF सुरक्षा) झण्डाहरू स्वचालित रूपमा सक्षम गर्नुहोस्, इन्क्रिप्सन कुकी;
• आक्रमणको ट्रेसहरू र अनुप्रयोगहरूको सम्झौता पहिचान गर्न नियमहरूको निर्मित सेट;
• जबरजस्ती विश्वव्यापी सक्रियता "सख्त" (उदाहरणका लागि, तर्कको रूपमा पूर्णांक मानको अपेक्षा गर्दा स्ट्रिङ निर्दिष्ट गर्ने प्रयासलाई रोक्छ) र विरुद्ध सुरक्षा प्रकार हेरफेर;
• पूर्वनिर्धारित अवरुद्ध प्रोटोकल र्यापरहरू (उदाहरणका लागि, "phar://" प्रतिबन्ध) तिनीहरूको स्पष्ट ह्वाइटलिस्टिङको साथ;
• लेख्न योग्य फाइलहरू कार्यान्वयन गर्न निषेध;
• eval को लागि कालो र सेतो सूची;
• प्रयोग गर्दा TLS प्रमाणपत्र जाँच सक्षम गर्न आवश्यक छ
  घुमाउरो;

• क्रमबद्ध वस्तुहरूमा HMAC थप्दै यो सुनिश्चित गर्नका लागि कि deserialization ले मौलिक अनुप्रयोगद्वारा भण्डारण गरिएको डाटा पुन: प्राप्त गर्छ;
• लगिङ मोड अनुरोध गर्नुहोस्;
• XML कागजातहरूमा लिङ्कहरू मार्फत libxml मा बाह्य फाइलहरूको लोडिङ अवरुद्ध;
• अपलोड गरिएका फाइलहरू जाँच गर्न र स्क्यान गर्न बाह्य ह्यान्डलरहरू (upload_validation) जडान गर्ने क्षमता;

यो परियोजना सिर्जना गरिएको थियो र ठूला फ्रान्सेली होस्टिंग अपरेटरहरूको पूर्वाधारमा प्रयोगकर्ताहरूलाई सुरक्षित गर्न प्रयोग गरिएको थियो। यो उल्लेख छSnuffleupagus लाई मात्र जडान गर्दा Drupal, WordPress र phpBB मा यस वर्ष पहिचान गरिएका धेरै खतरनाक कमजोरीहरू विरुद्ध सुरक्षा हुनेछ। Magento र Horde मा कमजोरीहरू मोड सक्षम गरेर अवरुद्ध गर्न सकिन्छ
"sp.readonly_exec.enable()"।

स्रोत: opennet.ru