Kung ikaw ay isang developer ng web, ang artikulong ito ay maaaring maging interesado sa iyo dahil dito ay magsasalita kami ng kaunti tungkol sa proyekto snuffleupagus, alin nagbibigay ng isang module sa interpreter ng PHP upang madagdagan ang seguridad ng kapaligiran at harangan ang mga tipikal na error na humahantong sa mga kahinaan sa pagpapatupad ng mga aplikasyon ng PHP.
Ang modyul na ito Ito ay dinisenyo sa isang napaka-kagiliw-giliw na paraan, mula noon dramatikong nagdaragdag ng trabaho ano ang dapat gawin upang magtagumpay sa mga pag-atake laban sa mga website, sa pamamagitan ng pag-aalis ng buong klase ng mga error. Din nagbibigay ng isang malakas na virtual patch system, na nagpapahintulot sa administrator na ayusin ang mga tukoy na kahinaan at mag-audit ng kahina-hinalang pag-uugali nang hindi kinakailangang pindutin ang PHP code.
Tungkol sa Snuffleupagus
snuffleupagus ay nailalarawan sa pamamagitan ng pagbibigay ng isang sistema ng mga patakaran na nagbibigay-daan upang magamit ang parehong karaniwang mga template upang madagdagan ang proteksyon at lumikha ng iyong sariling mga patakaran upang makontrol ang input data at mga parameter ng pag-andar.
Gayundin, nagbibigay ng mga built-in na pamamaraan upang hadlangan ang mga klase sa kahinaan tulad ng mga problemang nauugnay sa serialization ng data, hindi secure na paggamit ng pagpapaandar ng PHP mail (), pagkawala ng nilalaman ng cookie sa panahon ng pag-atake ng XSS, mga problema dahil sa pag-download ng mga file na may maipapatupad na code (halimbawa, sa phar format), Pagpapalit ng mga construct Maling XML.
Pinapayagan ka rin ng module Pinapayagan kang lumikha ng mga virtual na patch sa administrator ng website upang ayusin ang mga tukoy na problema nang hindi binabago ang code ng mapagkukunan ng application mahina, na angkop para magamit sa mga mass hosting system kung saan imposibleng panatilihing napapanahon ang lahat ng mga application ng gumagamit.
Ang pangkalahatang gastos ng mga mapagkukunan na nagmula sa pagpapatakbo ng modyul ay tinatayang bilang minimum. Ang modyul ay nakasulat sa wikang C, ay konektado sa anyo ng isang nakabahaging library sa file na "php.ini".
Sa mga pagpipilian sa seguridad na inaalok ng Snuffleupagus, ang sumusunod ay kapansin-pansin:
- Awtomatikong pagsasama ng mga "ligtas" at "samesite" na mga flag (proteksyon laban sa CSRF) para sa cookies, pag-encrypt ng cookie.
- Built-in na hanay ng mga patakaran upang makilala ang mga bakas ng pag-atake at pag-kompromiso ng mga application.
- Sapilitang pandaigdigang pagsasama ng mahigpit na "mahigpit" na mode na halimbawa ay humahadlang sa pagtatangka na tukuyin ang isang string habang naghihintay para sa isang halaga ng integer bilang isang pagtatalo at proteksyon laban sa pagmamanipula ng uri.
- Ang default na pag-block ng mga wrappers ng protocol (halimbawa, ang pagbabawal ng "phar: //") na may malinaw na pahintulot para sa whitelist.
- Pagbabawal sa pagpapatupad ng mga nasusulat na file.
- Mga listahan ng itim at puti para sa eval.
- Paganahin ang sapilitan na pagpapatunay ng sertipiko ng TLS kapag gumagamit ng curl.
- Magdagdag ng HMAC sa mga naka-serialize na bagay upang matiyak na makuha ng deserialization ang data na nakaimbak ng orihinal na application.
- Humiling ng mode sa pagpaparehistro.
- I-block ang paglo-load ng mga panlabas na file sa libxml gamit ang mga link sa mga XML na dokumento.
- Kakayahang ikonekta ang mga panlabas na driver (upload_validation) upang i-verify at i-scan ang na-download na mga file.
- Ipatupad ang pagpapatunay ng sertipiko ng TLS kapag gumagamit ng curl
- Humiling ng kapasidad sa pag-download
- Isang medyo malusog na base ng code
- Isang kumpletong package ng pagsubok na may malapit sa 100% na saklaw
- Ang bawat gumawa ay nasubok sa maraming pamamahagi
karagdagang impormasyon
Sa kasalukuyan ang modyul na ito ay nasa bersyon nito na 0.5.1 at dito namumukod-tangi a mas mahusay na suporta para sa PHP 7.4 at ipinatupad ang pagiging tugma sa sangay na PHP 8 (na kasalukuyang nasa ilalim ng pag-unlad).
Bukod doon ang default na itinakdang panuntunan ay na-update at sa ano bagong mga panuntunan ay naidagdag para sa mga bagong natuklasang kahinaan at diskarte upang atake sa mga web application.
Paano i-install ang Snuffleupagus sa Linux?
Sa wakas para sa mga interesadong subukan ang modyul na ito sa pentest pagsubok ng iyong mga application upang mapabuti ang seguridad ng mga ito o upang madagdagan ang seguridad ng iyong mga application.
Ang dapat nilang gawin ay pumunta sa opisyal na website ng modyul at sa iyong seksyon ng pag-download makakahanap ka ng mga tagubilin para sa ilan sa iba't ibang mga pamamahagi ng Linux, ang link ay ito
Kahit na, maaari rin nilang piliing mag-install mula sa source code, para dito maaari nilang sundin ang mga tagubilin na detalyado sa link na ito.
Panghuli ngunit hindi pa huli, kung nais mong malaman ang tungkol dito, basahin ang dokumentasyon o kunin ang source code para sa pagsusuri, magagawa mo ito. mula sa link na ito.