Snuffleupagus

Sicherheitsmodul für PHP7 und PHP8 – Tötet ganze Bug-Klassen und virtual-patched den Rest!

Hauptfunktionen • Download • Beispiele • Dokumentation • Lizenz • Dank

Snuffleupagus ist ein PHP 7+ und 8+-Modul, das entwickelt wurde, um die Kosten von Angriffen auf Websites drastisch zu erhöhen, indem es ganze Bug-Klassen eliminiert. Es bietet außerdem ein leistungsstarkes Virtual-Patching-System, mit dem Administratoren spezifische Schwachstellen beheben und verdächtiges Verhalten überwachen können, ohne den PHP-Code ändern zu müssen.

Hauptfunktionen

• Kein merkbarer Performance-Einfluss
• Leistungsstarke, aber einfach zu schreibende Virtual-Patching-Regeln
• Eliminierung mehrerer Schwachstellenklassen
  • Unserialize-basierte Codeausführung
  • mail-basierte Codeausführung
  • Cookie-stehlendes XSS
  • Datei-Upload-basierte Codeausführung
  • Schwache PRNG
  • XXE
  • Filterbasierte Remote-Codeausführung und weitere Spielereien
• Mehrere Härtungsfunktionen
  • Automatische secure- und samesite-Flags für Cookies
  • Gebündelter Regelsatz zur Erkennung von Post-Kompromittierungsverhalten
  • Globaler strict mode und Typ-Jonglier-Prävention
  • Whitelisting von Stream-Wrappern
  • Verhindern der Ausführung beschreibbarer Dateien
  • Whitelist/Blacklist für eval
  • Erzwingen der TLS-Zertifikatsvalidierung bei Verwendung von curl
  • Anfrage-Dumping-Funktion
• Eine relativ vernünftige Codebasis:
  • Eine umfassende Testsuite mit nahezu 100% Codeabdeckung

Download

Wir haben eine Download-Seite, auf der Sie Pakete für Ihre Distribution finden können, aber Sie können natürlich auch einfach git clone dieses Repos durchführen oder die Releases auf github prüfen.

Beispiele

Wir stellen verschiedene Beispielregeln zur Verfügung, die wie folgt aussehen:

# Härten der `chmod`-Funktion
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Abschwächung von Befehlsinjektion in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

Bei Verstoß gegen eine Regel sollten Sie Zeilen wie diese in Ihren Logs sehen:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

Dokumentation

Wir haben eine umfassende Website mit der gesamten Dokumentation, die Sie sich nur wünschen können. Sie können sie natürlich auch selbst erstellen.

Dank

Vielen Dank an:

• Das Suhosin-Projekt für eine riesige Inspirationsquelle
• NBS System für die anfängliche Finanzierung der Entwicklung
• Suhosin-ng für ihre Experimente und Beiträge, sowie NLNet für die Finanzierung
• Alle unseren Mitwirkenden