如果您是Web开发人员,那么您可能会对本文感兴趣,因为在此我们将对项目进行一些讨论。 绿藻哪一个 为PHP解释器提供一个模块,以提高环境的安全性 并阻止导致PHP应用程序执行漏洞的典型错误。
这个模块 它以非常有趣的方式设计, 因为 大大增加工作量 必须做什么 才能成功攻击网站, 通过消除整个错误类别。 还 提供强大的虚拟补丁系统,它使管理员可以修改特定的漏洞并审核可疑行为,而无需接触PHP代码。
关于金缕梅
绿藻 其特点是提供了规则体系 允许同时使用两个标准模板 增强保护并创建自己的规则来控制输入数据和功能参数。
也, 提供内置方法来阻止漏洞类别 例如与数据序列化有关的问题,不安全使用PHP邮件()函数,在XSS攻击期间丢失cookie内容,由于下载带有可执行代码(例如,phar格式)的文件而引起的问题,结构替换不正确的XML。
该模块还可以让您 允许您创建虚拟补丁 给网站管理员 在不更改应用程序源代码的情况下解决特定问题 易受攻击,这非常适合在无法使所有用户应用程序保持最新状态的大规模托管系统中使用。
从模块的运行中获得的一般资源成本估计为最低。 该模块是用C语言编写的,以共享库的形式在文件“ php.ini”中连接。
在Snuffleupagus提供的安全选项中,以下突出:
- 自动为cookie和cookie加密添加“安全”和“相同站点”标志(针对CSRF的保护)。
- 内置规则集,用于识别攻击和损害应用程序的痕迹。
- 强制全局包含严格的“ strict”模式,例如,它阻止在等待整数值作为参数时指定字符串的尝试,并防止类型操纵。
- 在您明确许可白名单的情况下,默认情况下阻止协议包装程序(例如,“ phar://”禁令)。
- 禁止执行可写文件。
- 评估的黑白名单。
- 使用curl时,启用TLS证书的强制验证。
- 将HMAC添加到序列化的对象中,以确保反序列化可检索原始应用程序存储的数据。
- 请求注册模式。
- 使用XML文档中的链接阻止在libxml中加载外部文件。
- 可以连接外部驱动程序(upload_validation)来验证和扫描下载的文件。
- 使用curl时强制执行TLS证书验证
- 要求下载容量
- 相对健康的代码库
- 覆盖率接近100%的完整测试包
- 每个提交都在多个发行版上进行测试
更多信息
当前,此模块的版本为0.5.1 并在其中脱颖而出 对PHP 7.4的更好支持 并实现了与PHP 8分支(目前正在开发)的兼容性。
除此之外 默认规则集已更新 以及什么 新规则已添加 针对新发现的攻击Web应用程序的漏洞和技术。
如何在Linux上安装Snuffleupagus?
最后 对于那些有兴趣尝试此模块的人 在应用程序的渗透测试中,以提高应用程序的安全性或提高应用程序的安全性。
他们应该做的是去官方网站 模块的 在您的下载部分 您将能够找到有关某些不同Linux发行版的说明, 链接是这个。
虽然, 他们还可以选择从源代码安装,为此,他们可以按照以下说明进行操作: 在此链接中详细介绍。
最后但并非最不重要的一点是,如果您想了解更多信息,阅读文档或获取源代码进行审查,则可以这样做。 从这个链接。