Ja esat tīmekļa izstrādātājs, iespējams, šis raksts jūs interesēs, jo tajā mēs nedaudz parunāsim par projektu snuffleupagus, kas nodrošina moduli PHP tulkotājam, lai palielinātu vides drošību un bloķē tipiskās kļūdas, kas noved pie ievainojamībām PHP lietojumprogrammu izpildē.
Šis modulis Tas ir veidots ļoti interesanti, kopš tā laika dramatiski palielina darbu kas jādara lai gūtu panākumus uzbrukumos vietnēm, noņemot veselas kļūdu klases. Arī nodrošina jaudīgu virtuālo ielāpu sistēmu, kas ļauj administratoram novērst konkrētas ievainojamības un pārbaudīt aizdomīgu rīcību, nepieskaroties PHP kodam.
Par Snuffleupagus
snuffleupagus raksturo nodrošina noteikumu sistēmu kas ļauj izmantot abas standarta veidnes lai palielinātu aizsardzību un izveidotu savus noteikumus, lai kontrolētu ievades datus un funkciju parametrus.
Arī nodrošina iebūvētas metodes ievainojamības klašu bloķēšanai tādas kā problēmas, kas saistītas ar datu sērijveidošanu, nedroša PHP mail () funkcijas izmantošana, sīkdatņu satura zaudēšana XSS uzbrukumu laikā, problēmas failu lejupielādes dēļ ar izpildāmo kodu (piemēram, phar formātā), konstrukciju aizstāšana Nepareiza XML.
Modulis arī ļauj jums ļauj izveidot virtuālos ielāpus vietnes administratoram noteikt konkrētas problēmas, nemainot lietojumprogrammas avota kodu viegli ievainojams, kas ir ērti lietojams masu mitināšanas sistēmās, kur nav iespējams visu lietotāju lietojumprogrammas atjaunināt.
Vispārējās resursu izmaksas, kas izriet no moduļa darbības, tiek aprēķinātas kā minimālās. Modulis ir uzrakstīts C valodā, ir savienots koplietojamas bibliotēkas veidā failā "php.ini".
No Snuffleupagus piedāvātajām drošības iespējām izceļas:
- Automātiska "drošu" un "samesite" karodziņu (aizsardzība pret CSRF) iekļaušana sīkdatnēs, sīkdatņu šifrēšana.
- Iebūvēts noteikumu kopums, lai identificētu uzbrukumu un kompromitējošu lietojumu pēdas.
- Piespiesta globāla stingra "stingra" režīma iekļaušana, kas, piemēram, bloķē mēģinājumu norādīt virkni, gaidot vesela skaitļa vērtību kā argumentu un aizsardzību pret manipulācijām ar tipu.
- Noklusējuma protokolu ietinēju bloķēšana (piemēram, aizliegums "phar: //") ar jūsu nepārprotamu atļauju iekļaut balto sarakstu.
- Aizliegums izpildīt rakstāmus failus.
- Melnbaltie saraksti eval.
- Iespējojot obligātu TLS sertifikāta validāciju, izmantojot čokurošanos.
- Pievienojiet HMAC sērijveida objektiem, lai nodrošinātu, ka deserializācija izgūst sākotnējās lietojumprogrammas saglabātos datus.
- Pieprasīt reģistrācijas režīmu.
- Bloķējiet ārējo failu ielādi libxml, izmantojot saites XML dokumentos.
- Spēja savienot ārējos draiverus (upload_validation), lai pārbaudītu un skenētu lejupielādētos failus.
- Piespiediet TLS sertifikāta validāciju, izmantojot čokurošanos
- Pieprasiet lejupielādes jaudu
- Salīdzinoši veselīga kodu bāze
- Pilnīga testa pakete ar gandrīz 100% pārklājumu
- Katra saistība tiek pārbaudīta vairākos sadalījumos
papildu informācija
Pašlaik šī moduļa versija ir 0.5.1 un tajā izceļas a labāks atbalsts PHP 7.4 un ieviesta savietojamība ar PHP 8 filiāli (kas pašlaik tiek izstrādāta).
Bez tam noklusējuma noteikumu kopa ir atjaunināta un uz ko ir pievienoti jauni noteikumi par nesen atklātajām ievainojamībām un paņēmieniem, kā uzbrukt tīmekļa lietojumprogrammām.
Kā Linux instalēt Snuffleupagus?
Beidzot tiem, kurus interesē iespēja izmēģināt šo moduli jūsu pieteikumu pentest testos, lai uzlabotu to drošību vai lai palielinātu jūsu lietojumprogrammu drošību.
Viņiem būtu jādodas uz oficiālo vietni moduļa un lejupielādes sadaļā Jūs varēsiet atrast instrukcijas dažiem dažādiem Linux izplatījumiem, saite ir šī.
Lai gan, viņi var arī izvēlēties instalēt no avota koda, lai to izdarītu, viņi var izpildīt norādījumus sīki aprakstīts šajā saitē.
Visbeidzot, ja vēlaties uzzināt vairāk par to, izlasīt dokumentāciju vai iegūt pirmkodu pārskatīšanai, varat to izdarīt. no šīs saites.