Snuffleupagus 0.5.1 को रिलीज, PHP अनुप्रयोगहरूमा कमजोरीहरू रोक्नको लागि मोड्युल

विकासको एक वर्ष पछि प्रकाशित परियोजना रिलीज Snuffleupagus 0.5.1, जसले वातावरणको सुरक्षा सुधार गर्न र PHP अनुप्रयोगहरू चलाउनमा कमजोरीहरू निम्त्याउने सामान्य त्रुटिहरूलाई रोक्नको लागि PHP7 अनुवादकको लागि मोड्युल प्रदान गर्दछ। मोड्युलले तपाईंलाई सिर्जना गर्न पनि अनुमति दिन्छ भर्चुअल प्याचहरू कमजोर अनुप्रयोगको स्रोत कोड परिवर्तन नगरी विशेष समस्याहरू हटाउन, जुन मास होस्टिङ प्रणालीहरूमा प्रयोगको लागि सुविधाजनक छ जहाँ सबै प्रयोगकर्ता अनुप्रयोगहरू अद्यावधिक राख्न असम्भव छ। मोड्युलको ओभरहेड लागत न्यूनतम अनुमान गरिएको छ। मोड्युल C मा लेखिएको छ, साझा पुस्तकालयको रूपमा जडान गरिएको छ (php.ini मा "extension=snuffleupagus.so") र द्वारा वितरित LGPL 3.0 अन्तर्गत इजाजतपत्र प्राप्त।

Snuffleupagus ले एक नियम प्रणाली प्रदान गर्दछ जसले तपाईंलाई सुरक्षा सुधार गर्न मानक टेम्प्लेटहरू प्रयोग गर्न अनुमति दिन्छ, वा इनपुट डेटा र प्रकार्य प्यारामिटरहरू नियन्त्रण गर्न आफ्नै नियमहरू सिर्जना गर्न अनुमति दिन्छ। उदाहरण को लागी, नियम "sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();" तपाइँलाई अनुप्रयोग परिवर्तन नगरी प्रणाली() प्रकार्य तर्कहरूमा विशेष क्यारेक्टरहरूको प्रयोग सीमित गर्न अनुमति दिन्छ। बिल्ट-इन विधिहरू कमजोरीहरूको वर्गहरू ब्लक गर्न प्रदान गरिन्छ जस्तै मुद्दाहरू, सम्बन्धित डाटा क्रमिकरण संग, असुरक्षित PHP मेल() प्रकार्यको प्रयोग, XSS आक्रमणको समयमा कुकी सामग्रीको चुहावट, कार्यान्वयनयोग्य कोडसँग फाइलहरू लोड गर्दा समस्याहरू (उदाहरणका लागि, ढाँचामा phar), खराब गुणस्तर अनियमित संख्या उत्पादन र प्रतिस्थापन गलत XML निर्माण।

Snuffleupagus द्वारा प्रदान गरिएको PHP सुरक्षा वृद्धि मोडहरू:

• कुकीहरूका लागि "सुरक्षित" र "समानसाइट" (CSRF सुरक्षा) झण्डाहरू स्वचालित रूपमा सक्षम गर्नुहोस्, इन्क्रिप्सन कुकी;
• आक्रमणको ट्रेसहरू र अनुप्रयोगहरूको सम्झौता पहिचान गर्न नियमहरूको निर्मित सेट;
• जबरजस्ती विश्वव्यापी सक्रियता "सख्त" (उदाहरणका लागि, तर्कको रूपमा पूर्णांक मानको अपेक्षा गर्दा स्ट्रिङ निर्दिष्ट गर्ने प्रयासलाई रोक्छ) र विरुद्ध सुरक्षा प्रकार हेरफेर;
• पूर्वनिर्धारित अवरुद्ध प्रोटोकल र्यापरहरू (उदाहरणका लागि, "phar://" प्रतिबन्ध) तिनीहरूको स्पष्ट ह्वाइटलिस्टिङको साथ;
• लेख्न योग्य फाइलहरू कार्यान्वयन गर्न निषेध;
• eval को लागि कालो र सेतो सूची;
• प्रयोग गर्दा TLS प्रमाणपत्र जाँच सक्षम गर्न आवश्यक छ
  घुमाउरो;
• क्रमबद्ध वस्तुहरूमा HMAC थप्दै यो सुनिश्चित गर्नका लागि कि deserialization ले मौलिक अनुप्रयोगद्वारा भण्डारण गरिएको डाटा पुन: प्राप्त गर्छ;
• लगिङ मोड अनुरोध गर्नुहोस्;
• XML कागजातहरूमा लिङ्कहरू मार्फत libxml मा बाह्य फाइलहरूको लोडिङ अवरुद्ध;
• अपलोड गरिएका फाइलहरू जाँच गर्न र स्क्यान गर्न बाह्य ह्यान्डलरहरू (upload_validation) जडान गर्ने क्षमता;

यस बीच परिवर्तन नयाँ विज्ञप्तिमा: PHP 7.4 को लागि सुधारिएको समर्थन र हाल विकासमा रहेको PHP 8 शाखासँग अनुकूलता लागू गरियो। syslog मार्फत घटनाहरू लग गर्ने क्षमता थपियो (sp.log_media निर्देशन समावेशको लागि प्रस्ताव गरिएको छ, जसले php वा syslog मानहरू लिन सक्छ)। हालै पहिचान गरिएका कमजोरीहरू र वेब अनुप्रयोगहरू विरुद्ध आक्रमण गर्ने प्रविधिहरूका लागि नयाँ नियमहरू समावेश गर्न पूर्वनिर्धारित नियमहरू अद्यावधिक गरिएको छ। macOS को लागि सुधारिएको समर्थन र GitLab मा आधारित निरन्तर एकीकरण प्लेटफर्मको विस्तारित प्रयोग।

स्रोत: opennet.ru