Snuffleupagus

php7 और php8 के लिए सुरक्षा मॉड्यूल - बग क्लासेस को खत्म करना और बाकी के लिए वर्चुअल-पैचिंग!

मुख्य विशेषताएँ • डाउनलोड • उदाहरण • दस्तावेज़ीकरण • लाइसेंस • धन्यवाद

Snuffleupagus एक PHP 7+ और 8+ मॉड्यूल है जिसे वेबसाइटों पर हमलों की लागत को नाटकीय रूप से बढ़ाने के लिए डिज़ाइन किया गया है, पूरे बग क्लास को मारकर। यह एक शक्तिशाली वर्चुअल-पैचिंग सिस्टम भी प्रदान करता है, जो प्रशासक को विशिष्ट कमजोरियों को ठीक करने और PHP कोड को छुए बिना संदिग्ध व्यवहारों का ऑडिट करने की अनुमति देता है।

मुख्य विशेषताएँ

• कोई ध्यान देने योग्य प्रदर्शन प्रभाव नहीं
• शक्तिशाली फिर भी लिखने में सरल वर्चुअल-पैचिंग नियम
• कमजोरियों के कई वर्गों को मारना
  • अनसीरियलाइज़-आधारित कोड निष्पादन
  • mail-आधारित कोड निष्पादन
  • कुकी-चुराने वाला XSS
  • फ़ाइल-अपलोड आधारित कोड निष्पादन
  • कमजोर PRNG
  • XXE
  • फ़िल्टर-आधारित रिमोट कोड निष्पादन और मिश्रित शरारतें
• कई सख्तीकरण सुविधाएँ
  • कुकीज़ के लिए स्वचालित secure और samesite फ्लैग
  • संक्रमणोत्तर व्यवहारों का पता लगाने के लिए नियमों का बंडल सेट
  • वैश्विक सख्त मोड और टाइप-जगलिंग रोकथाम
  • स्ट्रीम रैपर्स की श्वेतसूची
  • लिखने योग्य फाइलों के निष्पादन को रोकना
  • eval के लिए श्वेतसूची/कालीसूची
  • curl का उपयोग करते समय TLS प्रमाणपत्र सत्यापन को लागू करना
  • अनुरोध डंपिंग क्षमता
• अपेक्षाकृत समझदार कोड आधार:
  • लगभग 100% कवरेज के करीब एक व्यापक टेस्ट सूट
  • प्रत्येक कमिट का परीक्षण कई वितरणों पर किया जाता है

डाउनलोड

हमारे पास एक डाउनलोड पृष्ठ है, जहाँ आप अपने वितरण के लिए पैकेज पा सकते हैं, लेकिन आप निश्चित रूप से इस रिपो को git clone कर सकते हैं, या github पर रिलीज़ देख सकते हैं।

उदाहरण

हम विभिन्न उदाहरण नियम प्रदान कर रहे हैं, जो इस प्रकार दिखते हैं:

# Harden the `chmod` function
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Mitigate command injection in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

नियम के उल्लंघन पर, आपको अपने लॉग में इस प्रकार की पंक्तियाँ दिखनी चाहिए:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

दस्तावेज़ीकरण

हमारे पास एक व्यापक वेबसाइट है जिसमें वह सभी दस्तावेज़ीकरण है जो आप चाह सकते हैं। आप निश्चित रूप से इसे स्वयं बना सकते हैं.

धन्यवाद

बहुत-बहुत धन्यवाद:

• प्रेरणा का एक बड़ा स्रोत होने के लिए Suhosin प्रोजेक्ट
• प्रारंभिक रूप से विकास को प्रायोजित करने के लिए NBS System
• उनके प्रयोगों और योगदानों के लिए Suhosin-ng, साथ ही इसे प्रायोजित करने के लिए NLNet
• हमारे सभी योगदानकर्ता