Snuffleupagus ਪ੍ਰੋਜੈਕਟ ਕਮਜ਼ੋਰੀ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ PHP ਮੋਡੀਊਲ ਵਿਕਸਿਤ ਕਰ ਰਿਹਾ ਹੈ

ਪ੍ਰੋਜੈਕਟ ਦੀਆਂ ਸੀਮਾਵਾਂ ਵਿੱਚ ਸਨਫਲਿagਪੈਗਸ ਵਿਕਸਤ ਕਰਦਾ ਹੈ PHP7 ਦੁਭਾਸ਼ੀਏ ਨਾਲ ਜੁੜਨ ਲਈ ਇੱਕ ਮੋਡੀਊਲ, ਵਾਤਾਵਰਣ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਅਤੇ ਆਮ ਗਲਤੀਆਂ ਨੂੰ ਰੋਕਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ PHP ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਚਲਾਉਣ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਕਾਰਨ ਬਣਦੇ ਹਨ। ਮੋਡੀਊਲ ਤੁਹਾਨੂੰ ਕਮਜ਼ੋਰ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਸਰੋਤ ਕੋਡ ਨੂੰ ਬਦਲੇ ਬਿਨਾਂ ਖਾਸ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਵਰਚੁਅਲ ਪੈਚ ਬਣਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜੋ ਕਿ ਮਾਸ ਹੋਸਟਿੰਗ ਸਿਸਟਮਾਂ ਵਿੱਚ ਵਰਤਣ ਲਈ ਸੁਵਿਧਾਜਨਕ ਹੈ ਜਿੱਥੇ ਸਾਰੀਆਂ ਉਪਭੋਗਤਾ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਅੱਪ ਟੂ ਡੇਟ ਰੱਖਣਾ ਅਸੰਭਵ ਹੈ। ਮੋਡੀਊਲ C ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ, ਇੱਕ ਸਾਂਝੀ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਰੂਪ ਵਿੱਚ ਜੁੜਿਆ ਹੋਇਆ ਹੈ (php.ini ਵਿੱਚ “extension=snuffleupagus.so”) ਅਤੇ ਦੁਆਰਾ ਵੰਡਿਆ LGPL 3.0 ਦੇ ਅਧੀਨ ਲਾਇਸੰਸਸ਼ੁਦਾ।

Snuffleupagus ਇੱਕ ਨਿਯਮ ਪ੍ਰਣਾਲੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਸੁਰੱਖਿਆ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਲਈ ਮਿਆਰੀ ਟੈਂਪਲੇਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ, ਜਾਂ ਇਨਪੁਟ ਡੇਟਾ ਅਤੇ ਫੰਕਸ਼ਨ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਲਈ ਆਪਣੇ ਖੁਦ ਦੇ ਨਿਯਮ ਬਣਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਨਿਯਮ “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” ਤੁਹਾਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਬਦਲੇ ਬਿਨਾਂ ਸਿਸਟਮ() ਫੰਕਸ਼ਨ ਆਰਗੂਮੈਂਟਾਂ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਅੱਖਰਾਂ ਦੀ ਵਰਤੋਂ ਨੂੰ ਸੀਮਿਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਇਸੇ ਤਰ੍ਹਾਂ, ਤੁਸੀਂ ਬਣਾ ਸਕਦੇ ਹੋ ਵਰਚੁਅਲ ਪੈਚ ਜਾਣੀਆਂ ਗਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਰੋਕਣ ਲਈ।

ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਕਰਵਾਏ ਗਏ ਟੈਸਟਾਂ ਦੁਆਰਾ ਨਿਰਣਾ ਕਰਦੇ ਹੋਏ, ਸਨਫਲਉਪੈਗਸ ਮੁਸ਼ਕਿਲ ਨਾਲ ਪ੍ਰਦਰਸ਼ਨ ਨੂੰ ਘਟਾਉਂਦਾ ਹੈ. ਇਸਦੀ ਆਪਣੀ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ (ਸੁਰੱਖਿਆ ਪਰਤ ਵਿੱਚ ਸੰਭਾਵਿਤ ਕਮਜ਼ੋਰੀਆਂ ਹਮਲਿਆਂ ਲਈ ਇੱਕ ਵਾਧੂ ਵੈਕਟਰ ਵਜੋਂ ਕੰਮ ਕਰ ਸਕਦੀਆਂ ਹਨ), ਪ੍ਰੋਜੈਕਟ ਵੱਖ-ਵੱਖ ਵੰਡਾਂ ਵਿੱਚ ਹਰੇਕ ਪ੍ਰਤੀਬੱਧਤਾ ਦੀ ਪੂਰੀ ਜਾਂਚ ਕਰਦਾ ਹੈ, ਸਥਿਰ ਵਿਸ਼ਲੇਸ਼ਣ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਅਤੇ ਕੋਡ ਨੂੰ ਫਾਰਮੈਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਆਡਿਟਿੰਗ ਨੂੰ ਸਰਲ ਬਣਾਉਣ ਲਈ ਦਸਤਾਵੇਜ਼ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ।

ਕਮਜ਼ੋਰੀ ਦੀਆਂ ਸ਼੍ਰੇਣੀਆਂ ਨੂੰ ਬਲਾਕ ਕਰਨ ਲਈ ਬਿਲਟ-ਇਨ ਢੰਗ ਪ੍ਰਦਾਨ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਜਿਵੇਂ ਕਿ ਮੁੱਦਿਆਂ, ਸੰਬੰਧਿਤ ਡੇਟਾ ਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਦੇ ਨਾਲ, ਅਸੁਰੱਖਿਅਤ PHP ਮੇਲ() ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ, XSS ਹਮਲਿਆਂ ਦੌਰਾਨ ਕੂਕੀ ਸਮੱਗਰੀ ਦਾ ਲੀਕ ਹੋਣਾ, ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਕੋਡ ਨਾਲ ਫਾਈਲਾਂ ਲੋਡ ਕਰਨ ਕਾਰਨ ਸਮੱਸਿਆਵਾਂ (ਉਦਾਹਰਨ ਲਈ, ਫਾਰਮੈਟ ਵਿੱਚ phar), ਘਟੀਆ ਕੁਆਲਿਟੀ ਬੇਤਰਤੀਬ ਨੰਬਰ ਬਣਾਉਣਾ ਅਤੇ ਬਦਲ ਗਲਤ XML ਨਿਰਮਾਣ।

PHP ਸੁਰੱਖਿਆ ਨੂੰ ਵਧਾਉਣ ਲਈ ਹੇਠਾਂ ਦਿੱਤੇ ਮੋਡ ਸਮਰਥਿਤ ਹਨ:

• ਕੂਕੀਜ਼ ਲਈ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ "ਸੁਰੱਖਿਅਤ" ਅਤੇ "ਸਮੇਸਾਈਟ" (CSRF ਸੁਰੱਖਿਆ) ਫਲੈਗ ਨੂੰ ਸਮਰੱਥ ਬਣਾਓ, ਇਨਕ੍ਰਿਪਸ਼ਨ ਕੂਕੀ;
• ਹਮਲਿਆਂ ਦੇ ਨਿਸ਼ਾਨ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੇ ਸਮਝੌਤਾ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਨਿਯਮਾਂ ਦਾ ਬਿਲਟ-ਇਨ ਸੈੱਟ;
• ਦੀ ਜ਼ਬਰਦਸਤੀ ਗਲੋਬਲ ਐਕਟੀਵੇਸ਼ਨ "ਸਖ਼ਤ" (ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਆਰਗੂਮੈਂਟ ਦੇ ਰੂਪ ਵਿੱਚ ਇੱਕ ਪੂਰਨ ਅੰਕ ਮੁੱਲ ਦੀ ਉਮੀਦ ਕਰਦੇ ਸਮੇਂ ਇੱਕ ਸਤਰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਨੂੰ ਰੋਕਦਾ ਹੈ) ਅਤੇ ਇਸਦੇ ਵਿਰੁੱਧ ਸੁਰੱਖਿਆ ਕਿਸਮ ਹੇਰਾਫੇਰੀ;
• ਡਿਫੌਲਟ ਬਲਾਕਿੰਗ ਪ੍ਰੋਟੋਕੋਲ ਰੈਪਰ (ਉਦਾਹਰਨ ਲਈ, "phar://" ਨੂੰ ਪਾਬੰਦੀ ਲਗਾਉਣਾ) ਉਹਨਾਂ ਦੀ ਸਪਸ਼ਟ ਵ੍ਹਾਈਟਲਿਸਟਿੰਗ ਨਾਲ;
• ਲਿਖਣਯੋਗ ਫਾਈਲਾਂ ਨੂੰ ਚਲਾਉਣ 'ਤੇ ਪਾਬੰਦੀ;
• ਈਵਲ ਲਈ ਕਾਲੀਆਂ ਅਤੇ ਚਿੱਟੀਆਂ ਸੂਚੀਆਂ;
• ਵਰਤਣ ਵੇਲੇ TLS ਸਰਟੀਫਿਕੇਟ ਜਾਂਚ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਲਈ ਲੋੜੀਂਦਾ ਹੈ
  curl;

• ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਸੀਰੀਅਲਾਈਜ਼ਡ ਵਸਤੂਆਂ ਵਿੱਚ HMAC ਨੂੰ ਜੋੜਨਾ ਕਿ ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ ਦੁਆਰਾ ਸਟੋਰ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ;
• ਲੌਗਿੰਗ ਮੋਡ ਦੀ ਬੇਨਤੀ ਕਰੋ;
• XML ਦਸਤਾਵੇਜ਼ਾਂ ਵਿੱਚ ਲਿੰਕਾਂ ਰਾਹੀਂ libxml ਵਿੱਚ ਬਾਹਰੀ ਫਾਈਲਾਂ ਦੀ ਲੋਡਿੰਗ ਨੂੰ ਬਲੌਕ ਕਰਨਾ;
• ਅਪਲੋਡ ਕੀਤੀਆਂ ਫਾਈਲਾਂ ਦੀ ਜਾਂਚ ਅਤੇ ਸਕੈਨ ਕਰਨ ਲਈ ਬਾਹਰੀ ਹੈਂਡਲਰ (upload_validation) ਨਾਲ ਜੁੜਨ ਦੀ ਸਮਰੱਥਾ;

ਪ੍ਰੋਜੈਕਟ ਨੂੰ ਬਣਾਇਆ ਗਿਆ ਸੀ ਅਤੇ ਵੱਡੇ ਫ੍ਰੈਂਚ ਹੋਸਟਿੰਗ ਓਪਰੇਟਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈਕਿ ਸਿਰਫ਼ Snuffleupagus ਨੂੰ ਜੋੜਨਾ ਇਸ ਸਾਲ Drupal, WordPress ਅਤੇ phpBB ਵਿੱਚ ਪਛਾਣੀਆਂ ਗਈਆਂ ਬਹੁਤ ਸਾਰੀਆਂ ਖਤਰਨਾਕ ਕਮਜ਼ੋਰੀਆਂ ਤੋਂ ਬਚਾਅ ਕਰੇਗਾ। Magento ਅਤੇ Horde ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਸਮਰੱਥ ਕਰਕੇ ਬਲੌਕ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ
"sp.readonly_exec.enable()"

ਸਰੋਤ: opennet.ru