Nếu bạn là một nhà phát triển web, có lẽ bài viết này sẽ được bạn quan tâm vì trong đó chúng ta sẽ nói một chút về dự án ăn cắp vặt, cái nào cung cấp một mô-đun cho trình thông dịch PHP để tăng tính bảo mật của môi trường và chặn các lỗi điển hình dẫn đến lỗ hổng trong quá trình thực thi các ứng dụng PHP.
Mô-đun này Nó được thiết kế theo một cách rất thú vị, từ tăng đáng kể công việc Thứ gì cần được hoàn thành để có thể thành công trong các cuộc tấn công chống lại các trang web, bằng cách loại bỏ toàn bộ các lớp lỗi. Cũng thế cung cấp một hệ thống vá lỗi ảo mạnh mẽ, cho phép quản trị viên sửa các lỗ hổng cụ thể và kiểm tra hành vi đáng ngờ mà không cần phải chạm vào mã PHP.
Về Snuffleupagus
ăn cắp vặt được đặc trưng bởi cung cấp một hệ thống các quy tắc cho phép sử dụng cả hai mẫu tiêu chuẩn để tăng khả năng bảo vệ và tạo các quy tắc của riêng bạn để kiểm soát dữ liệu đầu vào và các tham số chức năng.
Ngoài ra cung cấp các phương pháp tích hợp để chặn các lớp lỗ hổng bảo mật chẳng hạn như các vấn đề liên quan đến tuần tự hóa dữ liệu, sử dụng không an toàn chức năng PHP mail (), mất nội dung cookie trong các cuộc tấn công XSS, sự cố do tải xuống tệp có mã thực thi (ví dụ: ở định dạng phar), Thay thế cấu trúc XML không chính xác.
Mô-đun này cũng cho phép bạn cho phép bạn tạo các bản vá ảo cho quản trị viên trang web để khắc phục các sự cố cụ thể mà không cần thay đổi mã nguồn ứng dụng dễ bị tấn công, thuận tiện cho việc sử dụng trong các hệ thống lưu trữ hàng loạt, nơi không thể cập nhật tất cả các ứng dụng của người dùng.
Chi phí chung của các nguồn lực thu được từ hoạt động của mô-đun được ước tính là tối thiểu. Mô-đun được viết bằng ngôn ngữ C, được kết nối dưới dạng thư viện dùng chung trong tệp "php.ini".
Trong số các tùy chọn bảo mật được cung cấp bởi Snuffleupagus, các tùy chọn sau nổi bật:
- Tự động bao gồm cờ "an toàn" và "samesite" (bảo vệ chống CSRF) cho cookie, mã hóa cookie.
- Bộ quy tắc tích hợp để xác định dấu vết của các cuộc tấn công và các ứng dụng xâm phạm.
- Bắt buộc bao gồm toàn cục của chế độ nghiêm ngặt "nghiêm ngặt", ví dụ như chặn nỗ lực chỉ định một chuỗi trong khi chờ một giá trị số nguyên làm đối số và bảo vệ chống lại thao tác kiểu.
- Việc chặn mặc định của trình bao bọc giao thức (ví dụ: lệnh cấm "phar: //") với sự cho phép rõ ràng của bạn để đưa vào danh sách trắng.
- Cấm thực thi các tệp có thể ghi.
- Danh sách màu đen và trắng cho eval.
- Bật xác thực bắt buộc chứng chỉ TLS khi sử dụng curl.
- Thêm HMAC vào các đối tượng được tuần tự hóa để đảm bảo rằng quá trình giải mã hóa truy xuất dữ liệu được lưu trữ bởi ứng dụng gốc.
- Yêu cầu chế độ đăng ký.
- Chặn tải các tệp bên ngoài trong libxml bằng cách sử dụng các liên kết trong tài liệu XML.
- Khả năng kết nối trình điều khiển bên ngoài (upload_validation) để xác minh và quét các tệp đã tải xuống.
- Thực thi xác thực chứng chỉ TLS khi sử dụng curl
- Yêu cầu dung lượng tải xuống
- Một cơ sở mã tương đối lành mạnh
- Một gói thử nghiệm hoàn chỉnh với phạm vi bảo hiểm gần 100%
- Mỗi cam kết được thử nghiệm trên nhiều bản phân phối
thêm thông tin
Hiện tại mô-đun này đang ở phiên bản 0.5.1 và trong đó nổi bật lên một hỗ trợ tốt hơn cho PHP 7.4 và triển khai khả năng tương thích với nhánh PHP 8 (hiện đang được phát triển).
bên cạnh đó bộ quy tắc mặc định đã được cập nhật và để làm gì các quy tắc mới đã được thêm vào đối với các lỗ hổng và kỹ thuật tấn công ứng dụng web mới được phát hiện.
Làm thế nào để cài đặt Snuffleupagus trên Linux?
Cuối cùng cho những người quan tâm có thể dùng thử mô-đun này trong các thử nghiệm năm nhất của các ứng dụng của bạn để cải thiện tính bảo mật của chúng hoặc để tăng tính bảo mật cho các ứng dụng của bạn.
Những gì họ nên làm là truy cập trang web chính thức của mô-đun và trong phần tải xuống của bạn Bạn sẽ có thể tìm thấy hướng dẫn cho một số bản phân phối Linux khác nhau, liên kết là cái này.
Tuy nhiên, họ cũng có thể chọn cài đặt từ mã nguồn, đối với điều này, họ có thể làm theo hướng dẫn chi tiết trong liên kết này.
Cuối cùng nhưng không kém phần quan trọng, nếu bạn muốn biết thêm về nó, hãy đọc tài liệu hoặc lấy mã nguồn để xem xét, bạn có thể làm như vậy. từ liên kết này.