Snuffleupagus

Sicherheitsmodul für PHP7 und PHP8 – beseitigt Bug-Klassen und patcht den Rest virtuell!

Kernfunktionen • Download • Beispiele • Dokumentation • Lizenz • Danksagung

Snuffleupagus ist ein Modul für PHP 7+ und 8+, das entwickelt wurde, um die Kosten von Angriffen auf Websites drastisch zu erhöhen, indem es ganze Bug-Klassen beseitigt. Es bietet außerdem ein leistungsfähiges Virtual-Patching-System, mit dem Administratoren spezifische Schwachstellen beheben und verdächtiges Verhalten prüfen können, ohne den PHP-Code anfassen zu müssen.

Kernfunktionen

• Keine merkbare Leistungsbeeinträchtigung
• Leistungsfähige und dennoch einfach zu schreibende Virtual-Patching-Regeln
• Beseitigt mehrere Schwachstellenklassen
  • Unserialize-basierte Codeausführung
  • mail-basierte Codeausführung
  • Cookie-stehlendes XSS
  • Auf Datei-Upload basierende Codeausführung
  • Schwacher PRNG
  • XXE
  • Filterbasierte Remote-Codeausführung und andere Spielereien
• Mehrere Härtungsfunktionen
  • Automatische secure- und samesite-Flags für Cookies
  • Integrierte Regelsammlung zur Erkennung von Verhalten nach einer Kompromittierung
  • Globaler strenger Modus und Verhinderung von Type-Juggling
  • Whitelisting von Stream-Wrappern
  • Verhindern der Ausführung beschreibbarer Dateien
  • Whitelist/Blacklist für eval
  • Erzwingen der TLS-Zertifikatsprüfung bei Verwendung von curl
  • Request-Dumping-Funktion
• Eine relativ vernünftige Codebasis:
  • Eine umfassende Testsuite mit fast 100 % Abdeckung

Download

Wir haben eine Download-Seite, auf der du Pakete für deine Distribution finden kannst. Du kannst natürlich auch einfach dieses Repo mit git clone klonen oder dir die Releases auf GitHub ansehen.

Beispiele

Wir stellen verschiedene Beispielregeln bereit, die wie folgt aussehen:

# Harden the `chmod` function
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Mitigate command injection in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

Bei Verletzung einer Regel solltest du Zeilen wie diese in deinen Logs sehen:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

Dokumentation

Wir haben eine umfassende Website mit der gesamten Dokumentation, die du dir nur wünschen kannst. Du kannst sie natürlich auch selbst erstellen.

Danksagung

Vielen Dank an:

• Das Suhosin-Projekt als enorme Inspirationsquelle
• NBS System für die anfängliche Förderung der Entwicklung
• Suhosin-ng für ihre Experimente und Beiträge sowie NLNet für die Förderung
• Allen unseren Mitwirkenden