Snuffleupagus

Sicherheitsmodul für php7 und php8 – Bugklassen eliminieren und den Rest virtuell patchen!

Hauptfunktionen • Download • Beispiele • Dokumentation • Lizenz • Danksagungen

Snuffleupagus ist ein PHP 7+- und 8+- Modul, das entwickelt wurde, um die Kosten von Angriffen auf Websites drastisch zu erhöhen, indem es ganze Bugklassen eliminiert. Es bietet außerdem ein leistungsfähiges System für virtuelles Patchen, das Administratoren ermöglicht, spezifische Schwachstellen zu beheben und verdächtiges Verhalten zu überwachen, ohne den PHP-Code anfassen zu müssen.

Hauptfunktionen

• Keine spürbare Leistungseinbuße
• Leistungsfähige, aber einfach zu schreibende Regeln für virtuelles Patchen
• Eliminierung mehrerer Schwachstellenklassen
  • Unserialize-basierte Codeausführung
  • mail-basierte Codeausführung
  • Cookie-stehlendes XSS
  • Datei-Upload-basierte Codeausführung
  • Schwache PRNG
  • XXE
  • Filterbasierte Remote-Codeausführung und ähnliche Machenschaften
• Mehrere Härtungsfunktionen
  • Automatisches secure- und samesite-Flag für Cookies
  • Gebündelter Regelsatz zur Erkennung von Verhalten nach einer Kompromittierung
  • Globaler strenger Modus und Verhinderung von Typ-Juggling
  • Whitelisting von Stream-Wrappern
  • Verhinderung der Ausführung beschreibbarer Dateien
  • Whitelist/Blacklist für eval
  • Erzwingung der TLS-Zertifikatsvalidierung bei Verwendung von curl
  • Fähigkeit zum Dumping von Requests
• Eine relativ vernünftige Codebasis:
  • Eine umfassende Testsuite mit nahezu 100 % Abdeckung
  • Jeder Commit wird auf mehreren Distributionen getestet
  • Ein durch clang-format erzwungener Codestil
  • Eine umfassende Dokumentation
  • Verwendung von coverity, codeql, scan-build, …

Download

Wir haben eine Download-Seite, auf der Sie Pakete für Ihre Distribution finden. Sie können dieses Repository natürlich auch einfach per git clone klonen oder die Releases auf github prüfen.

Beispiele

Wir stellen verschiedene Beispielregeln bereit, die wie folgt aussehen:

# Härten der `chmod`-Funktion
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Abschwächung von Command Injection in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

Bei Verletzung einer Regel sollten Sie Zeilen wie diese in Ihren Logs sehen:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

Dokumentation

Wir haben eine umfassende Website mit der gesamten Dokumentation, die Sie sich nur wünschen können. Sie können sie natürlich auch selbst erstellen.

Danksagungen

Vielen Dank an:

• Das Suhosin-Projekt für die enorme Inspirationsquelle
• NBS System für die anfängliche Finanzierung der Entwicklung
• Suhosin-ng für ihre Experimente und Beiträge, sowie NLNet für die Finanzierung
• Alle unsere Mitwirkenden