Snuffleupagus

Modulo di sicurezza per php7 e php8 - Uccidere le classi di bug e applicare virtual-patching al resto!

Caratteristiche principali • Download • Esempi • Documentazione • Licenza • Ringraziamenti

Snuffleupagus è un modulo per PHP 7+ e 8+ progettato per aumentare drasticamente il costo degli attacchi contro i siti web, eliminando intere classi di bug. Fornisce inoltre un potente sistema di virtual-patching, che consente agli amministratori di correggere vulnerabilità specifiche e monitorare comportamenti sospetti senza dover toccare il codice PHP.

Caratteristiche principali

• Nessun impatto sulle prestazioni percepibile
• Regole di virtual-patching potenti ma semplici da scrivere
• Eliminazione di diverse classi di vulnerabilità
  • Esecuzione di codice basata su unserialize
  • Esecuzione di codice basata su mail
  • XSS per furto di cookie
  • Esecuzione di codice basata su upload di file
  • PRNG debole
  • XXE
  • Esecuzione di codice remota basata su filtri e altri scherzi
• Diverse funzionalità di hardening
  • Aggiunta automatica dei flag secure e samesite ai cookie
  • Set di regole integrato per rilevare comportamenti post-compromissione
  • Modalità strict globale e prevenzione del type-juggling
  • Whitelist di stream wrapper
  • Prevenzione dell'esecuzione di file scrivibili
  • Whitelist/blacklist per eval
  • Applicazione della validazione dei certificati TLS quando si usa curl
  • Capacità di dump delle richieste
• Un codice base relativamente sano:
  • Una suite di test completa con copertura vicina al 100%

Download

Abbiamo una pagina di download, dove puoi trovare pacchetti per la tua distribuzione, ma puoi naturalmente anche fare git clone di questo repo, o controllare le release su github.

Esempi

Forniamo diverse regole di esempio, che assomigliano a queste:

# Hardena la funzione `chmod`
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Mitiga l'iniezione di comandi in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

In caso di violazione di una regola, dovresti vedere righe come queste nei tuoi log:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

Documentazione

Abbiamo un sito web completo con tutta la documentazione che potresti desiderare. Puoi naturalmente crearla da solo.

Ringraziamenti

Molte grazie a:

• Il progetto Suhosin per essere una enorme fonte di ispirazione
• NBS System per aver inizialmente sponsorizzato lo sviluppo
• Suhosin-ng per le loro sperimentazioni e contributi, così come NLNet per averlo sponsorizzato
• Tutti i nostri contributori