Jos olet verkkokehittäjä, ehkä tämä artikkeli kiinnostaa sinua, koska siinä puhumme hieman projektista snuffleupagus, Joka tarjoaa moduulin PHP-tulkille ympäristön turvallisuuden lisäämiseksi ja estä tyypilliset virheet, jotka johtavat haavoittuvuuksiin PHP-sovellusten suorituksessa.
Tämä moduuli Se on suunniteltu erittäin mielenkiintoisella tavalla, koska lisää dramaattisesti työtä mitä on tehtävä voidakseen onnistua hyökkäyksissä verkkosivustoja vastaan, poistamalla kokonaiset virheluokat. Myös tarjoaa tehokkaan virtuaalisen korjausjärjestelmän, jonka avulla järjestelmänvalvoja voi korjata tietyt haavoittuvuudet ja tarkastaa epäilyttävän toiminnan koskematta PHP-koodiin.
Tietoa henkilöstä Snuffleupagus
snuffleupagus sille on ominaista tarjoaa sääntöjärjestelmän jonka avulla voidaan käyttää molempia vakiomalleja lisätä suojausta ja luoda omia sääntöjä syötetietojen ja toimintoparametrien hallitsemiseksi.
Myös, tarjoaa sisäänrakennettuja menetelmiä haavoittuvuusluokkien estämiseksi kuten tietojen sarjallisuuteen liittyvät ongelmat, PHP mail () -toiminnon epävarma käyttö, evästesisällön menetys XSS-hyökkäysten aikana, suoritettavan koodin sisältävien tiedostojen lataamisesta johtuvat ongelmat (esimerkiksi phar-muodossa), rakenteiden korvaaminen Virheellinen XML.
Moduulin avulla voit myös avulla voit luoda virtuaalisia korjaustiedostoja verkkosivuston ylläpitäjälle korjata tietyt ongelmat muuttamatta sovelluksen lähdekoodia haavoittuva, joka soveltuu käytettäväksi massapalvelujärjestelmissä, joissa on mahdotonta pitää kaikkia käyttäjän sovelluksia ajan tasalla.
Moduulin toiminnasta aiheutuvien resurssien yleiset kustannukset arvioidaan vähintään. Moduuli on kirjoitettu C-kielellä, on yhdistetty jaetun kirjaston muodossa tiedostoon "php.ini".
Snuffleupaguksen tarjoamista suojausvaihtoehdoista seuraavat erottuvat:
- Automaattinen "turvallisten" ja "samesite" -merkkien (suojaus CSRF: tä vastaan) sisällyttäminen evästeisiin, evästeiden salaukseen.
- Sisäänrakennettu sääntöjoukko hyökkäysten ja vaarantavien sovellusten jälkien tunnistamiseksi.
- Pakotetun "tiukan" tilan pakollinen maailmanlaajuinen sisällyttäminen, joka esimerkiksi estää merkkijonon määritysyrityksen odottaessaan kokonaislukuarvoa argumenttina ja suojana tyypin manipuloinnilta.
- Protokollan käärimien oletus esto (esimerkiksi "phar: //" -kielto) sallittuasi sallittujen luetteloon.
- Kirjoitettavien tiedostojen suorittamisen kielto.
- Mustavalkoiset listat evalille.
- Otetaan käyttöön TLS-varmenteen pakollinen vahvistus käpristystä käytettäessä.
- Lisää HMAC sarjoitettuihin objekteihin varmistaaksesi, että deserialisaatio noutaa alkuperäisen sovelluksen tallentamat tiedot.
- Pyydä rekisteröintitilaa.
- Estä ulkoisten tiedostojen lataaminen libxml-tiedostoon XML-dokumenttien linkkien avulla.
- Mahdollisuus yhdistää ulkoiset ohjaimet (upload_validation) tarkistaa ja skannata ladatut tiedostot.
- Pakota TLS-varmenteen vahvistus käpristystä käytettäessä
- Pyydä latauskapasiteettia
- Suhteellisen terve koodi
- Täydellinen testipaketti, jonka peitto on lähes 100%
- Jokainen sitoutuminen testataan useilla jakeluilla
lisätiedot
Tällä hetkellä tämä moduuli on versiossa 0.5.1 ja siinä erottuu a parempi tuki PHP 7.4: lle ja toteutettu yhteensopivuus PHP 8 -haaran kanssa (jota kehitetään parhaillaan).
Sen lisäksi oletussääntöjoukko on päivitetty ja mihin uudet säännöt on lisätty vasta löydetyistä haavoittuvuuksista ja tekniikoista hyökätä verkkosovelluksiin.
Kuinka asentaa Snuffleupagus Linuxiin?
Vihdoin niille, jotka ovat kiinnostuneita kokeilemaan tätä moduulia sovellusten viimeisimmissä testeissä niiden turvallisuuden parantamiseksi tai sovellusten turvallisuuden lisäämiseksi.
Mitä heidän pitäisi tehdä, on mennä virallisille verkkosivustoille moduulin ja latausosiossa Löydät ohjeet joillekin Linux-jakeluille, linkki on tämä.
Vaikka, he voivat myös valita asennuksen lähdekoodista, tätä varten he voivat seurata ohjeita yksityiskohtaisesti tässä linkissä.
Viimeisenä mutta ei vähäisimpänä, jos haluat tietää enemmän siitä, lukea dokumentaation tai hankkia lähdekoodin tarkistettavaksi, voit tehdä sen. tästä linkistä.