Ako ste web programer, ovaj bi vas članak mogao zanimati jer ćemo u njemu malo razgovarati o projektu Njuškalo, koji pruža modul za PHP tumač za povećanje sigurnosti okoliša i blokiraju tipične pogreške koje dovode do ranjivosti u izvršavanju PHP aplikacija.
Ovaj modul Dizajniran je na vrlo zanimljiv način, kao dramatično povećava rad što se mora učiniti kako bi mogli uspjeti u napadima na web stranice, uklanjanjem čitavih klasa pogrešaka. Također pruža moćan virtualni sustav zakrpa, koji omogućava administratoru da popravi određene ranjivosti i revidira sumnjivo ponašanje bez dodirivanja PHP koda.
O burmutici
Njuškalo karakterizira pružanje sustava pravila što omogućuje upotrebu oba standardna predloška za povećanje zaštite i stvaranje vlastitih pravila za kontrolu ulaznih podataka i parametara funkcije.
Osim toga, pruža ugrađene metode za blokiranje klasa ranjivosti kao što su problemi povezani sa serializacijom podataka, nesigurna upotreba funkcije PHP mail (), gubitak sadržaja kolačića tijekom XSS napada, problemi zbog preuzimanja datoteka s izvršnim kodom (na primjer, u phar formatu), zamjena konstrukcija Neispravan XML.
Modul vam također omogućuje omogućuje vam stvaranje virtualnih zakrpa administratoru web stranice za rješavanje određenih problema bez promjene izvornog koda aplikacije ranjiv, što je prikladno za upotrebu u sustavima masovnog hostinga gdje je nemoguće ažurirati sve korisničke aplikacije.
Opći troškovi resursa proizašlih iz rada modula procjenjuju se kao minimalni. Modul je napisan na C jeziku, povezan je u obliku zajedničke knjižnice u datoteci "php.ini".
Od sigurnosnih opcija koje nudi Snuffleupagus izdvajaju se sljedeće:
- Automatsko uključivanje zastavica "sigurno" i "samesite" (zaštita od CSRF-a) za kolačiće, šifriranje kolačića.
- Ugrađeni skup pravila za prepoznavanje tragova napada i ugrožavanja aplikacija.
- Prisilno globalno uključivanje strogog "strogog" načina koji, na primjer, blokira pokušaj određivanja niza dok se čeka cijela vrijednost kao argument i zaštita od manipulacije tipom.
- Zadano blokiranje omotača protokola (na primjer, zabrana "phar: //") s vašim izričitim dopuštenjem za popis dopuštenih.
- Zabrana izvršavanja datoteka za pisanje.
- Crno-bijeli popisi za eval.
- Omogućavanje obvezne provjere valjanosti TLS certifikata kada se koristi curl.
- Dodajte HMAC serializiranim objektima kako biste osigurali da deserializacija dohvaća podatke pohranjene u izvornoj aplikaciji.
- Zahtjev za način registracije.
- Blokirajte učitavanje vanjskih datoteka u libxml pomoću veza u XML dokumentima.
- Sposobnost povezivanja vanjskih upravljačkih programa (upload_validation) za provjeru i skeniranje preuzetih datoteka.
- Provedite provjeru valjanosti TLS certifikata kada koristite curl
- Zatražite kapacitet za preuzimanje
- Relativno zdrava baza koda
- Kompletni testni paket s gotovo 100% pokrivenosti
- Svako urezivanje testira se na više distribucija
dodatne informacije
Trenutno je ovaj modul u svojoj verziji 0.5.1 a u njemu se ističe a bolja podrška za PHP 7.4 i implementirao kompatibilnost s granom PHP 8 (koja je trenutno u fazi izrade).
osim toga ažuriran je zadani skup pravila i na što dodana su nova pravila za novootkrivene ranjivosti i tehnike napada web aplikacija.
Kako instalirati Snuffleupagus na Linux?
Konačno za one koje zanima mogućnost isprobavanja ovog modula u pentest testovima vaših aplikacija kako biste poboljšali njihovu sigurnost ili kako biste povećali sigurnost svojih aplikacija.
Trebali bi otići na službenu web stranicu modula i u odjeljku za preuzimanje Moći ćete pronaći upute za neke od različitih Linux distribucija, poveznica je ovo.
Iako, oni također mogu odabrati instaliranje iz izvornog koda, za to mogu slijediti upute koje jesu detaljno na ovoj poveznici.
I na kraju, ali ne najmanje važno, ako želite znati više o tome, pročitati dokumentaciju ili dobiti izvorni kod na pregled, to možete učiniti. s ove poveznice.