Snuffleupagus

Módulo de seguridad para php7 y php8: ¡eliminar clases de errores y parchear virtualmente el resto!

Características principales • Descarga • Ejemplos • Documentación • Licencia • Agradecimientos

Snuffleupagus es un módulo para PHP 7+ y 8+ diseñado para aumentar drásticamente el coste de los ataques contra sitios web, eliminando clases enteras de errores. También proporciona un potente sistema de parches virtuales, que permite a los administradores corregir vulnerabilidades específicas y auditar comportamientos sospechosos sin tener que tocar el código PHP.

Características principales

• Sin impacto notable en el rendimiento
• Reglas de parches virtuales potentes pero sencillas de escribir
• Eliminación de varias clases de vulnerabilidades
  • Ejecución de código basada en deserialización
  • Ejecución de código basada en mail
  • XSS que roba cookies
  • Ejecución de código basada en subida de archivos
  • PRNG débil
  • XXE
  • Ejecución remota de código basada en filtros y otras artimañas
• Varias características de endurecimiento
  • Marcas automáticas secure y samesite para cookies
  • Conjunto integrado de reglas para detectar comportamientos posteriores a la compromisión
  • Modo estricto global y prevención de manipulación de tipos
  • Lista blanca de envoltorios de flujo
  • Prevención de la ejecución de archivos escribibles
  • Lista blanca/negra para eval
  • Imposición de la validación de certificados TLS al usar curl
  • Capacidad de volcado de solicitudes
• Una base de código relativamente sensata:
  • Una suite de pruebas completa con una cobertura cercana al 100%

Descarga

Tenemos una página de descarga, donde puedes encontrar paquetes para tu distribución, pero por supuesto puedes simplemente git clone este repositorio, o consultar los lanzamientos en github.

Ejemplos

Proporcionamos varias reglas de ejemplo, que tienen este aspecto:

# Harden the `chmod` function
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Mitigate command injection in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

Ante la violación de una regla, deberías ver líneas como esta en tus registros:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

Documentación

Tenemos un sitio web completo con toda la documentación que puedas desear. Por supuesto, puedes construirlo tú mismo.

Agradecimientos

Muchas gracias a:

• El proyecto Suhosin por ser una enorme fuente de inspiración
• NBS System por patrocinar inicialmente el desarrollo
• Suhosin-ng por sus experimentaciones y contribuciones, así como a NLNet por patrocinarlo
• A todos nuestros contribuyentes