あなたがウェブ開発者なら、おそらくこの記事はあなたの興味を引くでしょう。なぜなら、その中で私たちはプロジェクトについて少し話すからです。 スナッフィーどれ 環境のセキュリティを強化するためのモジュールをPHPインタープリターに提供します PHPアプリケーションの実行における脆弱性につながる典型的なエラーをブロックします。
このモジュール それは非常に興味深い方法で設計されています、 として 劇的に仕事を増やす 何をしなければならないか ウェブサイトに対する攻撃に成功できるようにするために、 エラーのクラス全体を削除することによって。 また 強力な仮想パッチシステムを提供します、これにより、管理者はPHPコードに触れることなく、特定の脆弱性を修正し、疑わしい動作を監査できます。
スナッフィーについて
スナッフィー ルールのシステムを提供することによって特徴付けられます これにより、両方の標準テンプレートを使用できます 保護を強化し、入力データと関数パラメーターを制御するための独自のルールを作成します。
その上、 脆弱性クラスをブロックするための組み込みメソッドを提供します データのシリアル化に関連する問題、PHP mail（）関数の安全でない使用、XSS攻撃中のCookieコンテンツの損失、実行可能コード（phar形式など）を含むファイルのダウンロードによる問題、構成要素の置換が正しくないXMLなど。
このモジュールでは、 仮想パッチを作成できます ウェブサイト管理者へ アプリケーションのソースコードを変更せずに特定の問題を修正する 脆弱性があり、すべてのユーザーアプリケーションを最新の状態に保つことが不可能なマスホスティングシステムでの使用に適しています。
モジュールの操作から得られるリソースの一般的な費用は、最小限と見積もられています。 モジュールはC言語で書かれていますは、ファイル「php.ini」内の共有ライブラリの形式で接続されています。
Snuffleupagusが提供するセキュリティオプションの中で、次の点が際立っています。
- Cookieの「安全」フラグと「同じサイト」フラグ（CSRFに対する保護）の自動インクルード、Cookieの暗号化。
- 攻撃の痕跡と侵害しているアプリケーションを特定するための組み込みのルールセット。
- 厳密な「厳密な」モードの強制的なグローバルインクルード。たとえば、引数として整数値を待機している間、文字列を指定する試みをブロックし、型操作から保護します。
- ホワイトリストへの明示的なアクセス許可によるプロトコルラッパーのデフォルトのブロック（たとえば、「phar：//」禁止）。
- 書き込み可能なファイルの実行の禁止。
- 評価用の白黒リスト。
- curlを使用するときにTLS証明書の必須検証を有効にします。
- シリアル化されたオブジェクトにHMACを追加して、逆シリアル化によって元のアプリケーションによって保存されたデータが確実に取得されるようにします。
- 登録モードをリクエストします。
- XMLドキュメント内のリンクを使用して、libxml内の外部ファイルのロードをブロックします。
- ダウンロードしたファイルを検証およびスキャンするための外部ドライバー（upload_validation）を接続する機能。
- curlを使用するときにTLS証明書の検証を実施する
- ダウンロード容量をリクエストする
- 比較的健全なコードベース
- ほぼ100％のカバレッジを備えた完全なテストパッケージ
- 各コミットは複数のディストリビューションでテストされます
追加情報
現在、このモジュールはバージョン0.5.1です。 そしてその中で際立っています PHP7.4のより良いサポート PHP 8ブランチ（現在開発中）との互換性を実装しました。
それに加えて デフォルトのルールセットが更新されました そして何に 新しいルールが追加されました Webアプリケーションを攻撃するために新たに発見された脆弱性と手法。
LinuxにSnuffleupagusをインストールするにはどうすればいいですか？
最後に このモジュールを試すことができることに興味がある人のために アプリケーションのセキュリティを向上させるため、またはアプリケーションのセキュリティを向上させるために、アプリケーションの侵入テストで。
彼らがすべきことは公式ウェブサイトに行くことです モジュールの ダウンロードセクションで いくつかの異なるLinuxディストリビューションの説明を見つけることができます。 リンクはこちらです。
しかし、 ソースコードからインストールすることもできます、このために彼らは指示に従うことができます このリンクで詳しく説明されています。
大事なことを言い忘れましたが、それについてもっと知りたい場合、ドキュメントを読んだり、レビュー用のソースコードを入手したりする場合は、そうすることができます。 このリンクから