Snuffleupagus

php7 と php8 向けセキュリティモジュール – バグクラスを排除し、残りは仮想パッチで対応!

主な機能 • ダウンロード • 使用例 • ドキュメント • ライセンス • 謝辞

Snuffleupagus は PHP 7+ および 8+ 用のモジュールで、バグクラス全体を排除することで Web サイトへの攻撃コストを大幅に引き上げるように設計されています。また、強力な仮想パッチシステムを備えており、管理者は PHP コードに手を加えることなく、特定の脆弱性を修正したり、疑わしい動作を監査したりできます。

主な機能

• 顕著なパフォーマンスへの影響なし
• 強力でありながら記述も簡単な仮想パッチルール
• 複数の脆弱性クラスの排除
  • アンシリアライズベースのコード実行
  • mailベースのコード実行
  • クッキーを盗む XSS
  • ファイルアップロードベースのコード実行
  • 脆弱な PRNG
  • XXE
  • フィルタベースのリモートコード実行およびその他の不正行為
• いくつかの堅牢化機能
  • クッキーへの自動 secure および samesite フラグ付与
  • 侵害後の動作を検出するためのルールセット（バンドル）
  • グローバルな strict モードと型の乱用防止
  • ストリームラッパーのホワイトリスト
  • 書き込み可能なファイルの実行防止
  • eval のホワイトリスト/ブラックリスト
  • curl使用時の TLS 証明書検証の強制
  • リクエストダンプ機能
• 比較的健全なコードベース:
  • ほぼ 100％ のカバレッジを誇る包括的なテストスイート
  • すべてのコミットを複数のディストリビューションでテスト
  • clang-format によるコードスタイルの強制

ダウンロード

ダウンロードページをご用意しています。お使いのディストリビューション向けのパッケージがありますが、もちろんこのリポジトリを git clone するか、GitHub のリリースを確認することもできます。

使用例

さまざまなルール例を提供しています。以下のような内容です:

# `chmod` 関数の強化
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# `system` でのコマンドインジェクション対策
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

ルールに違反すると、ログに次のような行が表示されます:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

ドキュメント

包括的なウェブサイトで、必要なすべてのドキュメントを提供しています。もちろん自分でビルドすることもできます。

謝辞

多くの方々に感謝します:

• Suhosin プロジェクト – 非常に大きなインスピレーションの源
• NBS System – 開発の初期スポンサー
• Suhosin-ng – その実験と貢献、およびスポンサーである NLNet
• すべてのコントリビューター