Snuffleupagus

Module de sécurité pour php7 et php8 – Élimine des classes de bugs et corrige le reste par virtual-patching !

Fonctionnalités clés • Téléchargement • Exemples • Documentation • Licence • Remerciements

Snuffleupagus est un module PHP 7+ et 8+ conçu pour augmenter considérablement le coût des attaques contre les sites web, en éliminant des classes entières de bugs. Il fournit également un puissant système de virtual-patching, permettant à l’administrateur de corriger des vulnérabilités spécifiques et d’auditer des comportements suspects sans avoir à toucher au code PHP.

Fonctionnalités clés

• Aucun impact notable sur les performances
• Règles de virtual-patching puissantes mais simples à écrire
• Élimine plusieurs classes de vulnérabilités
  • Exécution de code basée sur l’unserialize
  • Exécution de code basée sur mail
  • Vol de cookies via XSS
  • Exécution de code via téléchargement de fichiers
  • PRNG faible
  • XXE
  • Exécution de code à distance via les filtres et autres farces
• Plusieurs fonctionnalités de durcissement
  • Ajout automatique des drapeaux secure et samesite pour les cookies
  • Ensemble de règles inclus pour détecter les comportements post-compromission
  • Mode strict global et prévention du type-juggling
  • Liste blanche des wrappers de flux
  • Empêcher l’exécution de fichiers inscriptibles
  • Liste blanche/noire pour eval
  • Validation forcée des certificats TLS lors de l’utilisation de curl
  • Capacité de vidage des requêtes
• Une base de code relativement saine :
  • Une suite de tests complète avec une couverture proche de 100 %

Téléchargement

Nous avons une page de téléchargement, où vous pouvez trouver des paquets pour votre distribution, mais vous pouvez bien sûr simplement git clone ce dépôt, ou consulter les versions sur github.

Exemples

Nous fournissons divers exemples de règles, qui ressemblent à ceci :

# Harden the `chmod` function
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Mitigate command injection in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

En cas de violation d’une règle, vous devriez voir des lignes comme celle-ci dans vos logs :

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

Documentation

Nous avons un site complet avec toute la documentation que vous pourriez souhaiter. Vous pouvez bien sûr le construire vous-même.

Remerciements

Merci à :

• Le projet Suhosin pour être une énorme source d’inspiration
• NBS System pour avoir initialement sponsorisé le développement
• Suhosin-ng pour leurs expérimentations et contributions, ainsi que NLNet pour l’avoir sponsorisé
• Tous nos contributeurs