Sekiranya anda seorang pembangun laman web, mungkin artikel ini menarik bagi anda kerana di dalamnya kita akan membincangkan sedikit mengenai projek tersebut snuffleupagusyang mana menyediakan modul kepada jurubahasa PHP untuk meningkatkan keselamatan persekitaran dan menyekat kesalahan tipikal yang menyebabkan kerentanan dalam pelaksanaan aplikasi PHP.
Modul ini Ia direka dengan cara yang sangat menarik, sejak itu meningkatkan kerja secara mendadak apa yang mesti dibuat agar berjaya dalam serangan terhadap laman web, dengan membuang keseluruhan kelas kesalahan. Juga menyediakan sistem tampalan maya yang kuat, yang membolehkan pentadbir memperbaiki kerentanan tertentu dan mengaudit tingkah laku yang mencurigakan tanpa perlu menyentuh kod PHP.
Mengenai Snuffleupagus
snuffleupagus dicirikan oleh menyediakan sistem peraturan yang membolehkan menggunakan kedua-dua templat standard untuk meningkatkan perlindungan dan membuat peraturan anda sendiri untuk mengawal data input dan parameter fungsi.
Juga menyediakan kaedah terbina dalam untuk menyekat kelas kerentanan seperti masalah yang berkaitan dengan serialisasi data, penggunaan fungsi PHP mel yang tidak selamat (), kehilangan kandungan kuki semasa serangan XSS, masalah kerana memuat turun fail dengan kod yang dapat dilaksanakan (misalnya, dalam format phar), Penggantian konstruk XML yang tidak betul.
Modul ini juga membolehkan anda membolehkan anda membuat patch maya kepada pentadbir laman web untuk menyelesaikan masalah tertentu tanpa mengubah kod sumber aplikasi rentan, yang sesuai digunakan dalam sistem hosting massal di mana mustahil untuk mengemas kini semua aplikasi pengguna.
Perbelanjaan umum sumber yang diperoleh daripada pengoperasian modul dianggarkan minimum. Modul ditulis dalam bahasa C, dihubungkan dalam bentuk perpustakaan bersama dalam fail "php.ini".
Daripada pilihan keselamatan yang ditawarkan oleh Snuffleupagus, yang berikut menonjol:
- Penyertaan bendera "selamat" dan "samesite" secara automatik (perlindungan terhadap CSRF) untuk kuki, penyulitan kuki.
- Set peraturan terbina dalam untuk mengenal pasti jejak serangan dan aplikasi yang menjejaskan.
- Inklusi global yang dipaksa untuk mod "ketat" yang ketat yang misalnya menyekat usaha untuk menentukan rentetan sementara menunggu nilai integer sebagai argumen dan perlindungan terhadap manipulasi jenis.
- Penyekat lalai pembungkus protokol (sebagai contoh, larangan "phar: //") dengan kebenaran eksplisit anda untuk senarai putih.
- Larangan melaksanakan fail yang boleh ditulis.
- Senarai hitam putih untuk eval.
- Mengaktifkan pengesahan mandatori sijil TLS semasa menggunakan curl.
- Tambahkan HMAC ke objek bersiri untuk memastikan deserialisasi mengambil data yang disimpan oleh aplikasi asal.
- Memohon mod pendaftaran.
- Sekat fail luaran daripada dimuat dalam libxml menggunakan pautan dalam dokumen XML.
- Keupayaan untuk menghubungkan pemacu luaran (upload_validation) untuk mengesahkan dan mengimbas fail yang dimuat turun.
- Kuatkan pengesahan sijil TLS semasa menggunakan curl
- Minta kapasiti muat turun
- Pangkalan kod yang agak sihat
- Pakej ujian lengkap dengan hampir 100% liputan
- Setiap komit diuji pada pelbagai pengedaran
maklumat tambahan
Pada masa ini modul ini dalam versi 0.5.1 dan di dalamnya menonjol a sokongan yang lebih baik untuk PHP 7.4 dan melaksanakan keserasian dengan cabang PHP 8 (yang kini sedang dibangunkan).
selain itu set peraturan lalai telah dikemas kini dan untuk apa peraturan baru telah ditambah untuk kelemahan dan teknik yang baru ditemui untuk menyerang aplikasi web.
Bagaimana cara memasang Snuffleupagus di Linux?
Akhirnya bagi mereka yang berminat untuk dapat mencuba modul ini dalam ujian pentest aplikasi anda untuk meningkatkan keselamatan aplikasi atau untuk meningkatkan keselamatan aplikasi anda.
Apa yang harus mereka lakukan ialah melayari laman web rasmi modul dan di bahagian muat turun anda Anda akan dapat mencari petunjuk untuk sebilangan pengedaran Linux yang berbeza, pautan adalah ini.
Walaupun, mereka juga boleh memilih untuk memasang dari kod sumber, untuk ini mereka boleh mengikuti arahan terperinci dalam pautan ini.
Akhir sekali, jika anda ingin mengetahui lebih lanjut mengenainya, baca dokumentasi atau dapatkan kod sumber untuk disemak, anda boleh melakukannya. dari pautan ini.