Ako ste web programer, ovaj vas članak može zanimati jer ćemo u njemu malo razgovarati o projektu Njuškalo, koji pruža modul za PHP tumač za povećanje sigurnosti okoline i blokiraju tipične greške koje dovode do ranjivosti u izvršavanju PHP aplikacija.
Ovaj modul Dizajniran je na vrlo zanimljiv način, od tada dramatično povećava rad šta treba učiniti kako bi mogli uspjeti u napadima na web stranice, uklanjanjem čitavih klasa grešaka. Takođe pruža moćan virtualni sistem zakrpa, koji omogućava administratoru da popravi određene ranjivosti i revidira sumnjivo ponašanje bez dodirivanja PHP koda.
O burmutici
Njuškalo karakterizira pružanje sistema pravila što omogućava upotrebu oba standardna predloška radi povećanja zaštite i kreiranja vlastitih pravila za kontrolu ulaznih podataka i parametara funkcije.
Takođe, pruža ugrađene metode za blokiranje klasa ranjivosti kao što su problemi u vezi sa serializacijom podataka, nesigurna upotreba funkcije PHP mail (), gubitak sadržaja kolačića tijekom XSS napada, problemi zbog preuzimanja datoteka s izvršnim kodom (na primjer, u phar formatu), zamjena konstrukcija Neispravan XML.
Modul vam takođe omogućava omogućava vam stvaranje virtualnih zakrpa administratoru web lokacije za rješavanje određenih problema bez promjene izvornog koda aplikacije ranjiv, što je pogodno za upotrebu u sistemima za masovno hosting gdje je nemoguće ažurirati sve korisničke aplikacije.
Opći troškovi resursa proisteklih iz rada modula procjenjuju se kao minimalni. Modul je napisan na C jeziku, povezan je u obliku zajedničke biblioteke u datoteci "php.ini".
Od sigurnosnih opcija koje nudi Snuffleupagus izdvajaju se sljedeće:
- Automatsko uključivanje zastavica "safe" i "samesite" (zaštita od CSRF-a) za kolačiće, šifriranje kolačića.
- Ugrađeni skup pravila za prepoznavanje tragova napada i ugrožavanja aplikacija.
- Prisilno globalno uključivanje strogog "strogog" načina koji, na primjer, blokira pokušaj specificiranja niza dok se čeka cijela vrijednost kao argument i zaštita od manipulacije tipom.
- Zadano blokiranje omotača protokola (na primjer, zabrana "phar: //") s vašim izričitim dopuštenjem za bijelu listu.
- Zabrana izvršavanja datoteka za pisanje.
- Crno-bijele liste za eval.
- Omogućavanje obavezne provjere valjanosti TLS certifikata kada se koristi curl.
- Dodajte HMAC serializiranim objektima kako biste osigurali da deserijalizacija dohvaća podatke pohranjene u originalnoj aplikaciji.
- Zatražite način registracije.
- Blokirajte učitavanje vanjskih datoteka u libxml pomoću veza u XML dokumentima.
- Sposobnost povezivanja vanjskih upravljačkih programa (upload_validation) za provjeru i skeniranje preuzetih datoteka.
- Provedite provjeru valjanosti TLS certifikata kada koristite curl
- Zatražite kapacitet za preuzimanje
- Relativno zdrava baza koda
- Kompletni testni paket sa skoro 100% pokrivenosti
- Svako urezivanje se testira na više distribucija
Dodatne informacije
Trenutno je ovaj modul u svojoj verziji 0.5.1 i u njemu se ističe a bolja podrška za PHP 7.4 i implementirao kompatibilnost sa PHP 8 granom (koja je trenutno u fazi izrade).
pored toga zadani skup pravila je ažuriran i na šta dodana su nova pravila za novootkrivene ranjivosti i tehnike napada web aplikacija.
Kako instalirati Snuffleupagus na Linux?
Konačno za one koji su zainteresirani da mogu isprobati ovaj modul u pentest testovima vaših aplikacija kako bi se poboljšala njihova sigurnost ili kako bi se povećala sigurnost vaših aplikacija.
Ono što bi trebali učiniti je otići na službenu web stranicu modula i u odjeljku za preuzimanje Moći ćete pronaći upute za neke od različitih Linux distribucija, veza je ovo.
Iako, oni također mogu odabrati instaliranje iz izvornog koda, za to mogu slijediti upute koje jesu detaljno na ovom linku.
I na kraju, ali ne najmanje važno, ako želite znati više o tome, pročitati dokumentaciju ili dobiti izvorni kod na pregled, to možete učiniti. sa ovog linka.