Snuffleupagus

php7 및 php8용 보안 모듈 - 버그 클래스 제거, 나머지는 가상 패치 처리!

주요 기능 • 다운로드 • 예제 • 문서 • 라이선스 • 감사의 말

Snuffleupagus는 PHP 7+ 및 8+ 모듈로, 전체 버그 클래스를 제거하여 웹사이트에 대한 공격 비용을 대폭 높이도록 설계되었습니다. 또한 강력한 가상 패치 시스템을 제공하여 관리자가 PHP 코드를 수정하지 않고도 특정 취약점을 수정하고 의심스러운 동작을 감사할 수 있게 해줍니다.

주요 기능

• 눈에 띄는 성능 저하 없음
• 강력하면서도 작성이 간단한 가상 패치 규칙
• 여러 취약점 클래스 제거
  • 역직렬화 기반 코드 실행
  • mail 기반 코드 실행
  • 쿠키 도난 XSS
  • 파일 업로드 기반 코드 실행
  • 취약한 PRNG
  • XXE
  • 필터 기반 원격 코드 실행 및 관련 문제
• 여러 강화 기능
  • 쿠키에 자동 secure 및 samesite 플래그 설정
  • 침해 후 행동 탐지를 위한 규칙 번들
  • 전역 엄격 모드 및 타입 저글링 방지
  • 스트림 래퍼 화이트리스트
  • 쓰기 가능한 파일 실행 방지
  • eval 화이트리스트/블랙리스트
  • curl 사용 시 TLS 인증서 검증 강제
  • 요청 덤프 기능
• 비교적 안정적인 코드 베이스:
  • 100%에 가까운 포괄적인 테스트 스위트
  • 모든 커밋이 여러 배포판에서 테스트됨
  • clang-format 적용 코드 스타일
  • 포괄적인 문서
  • coverity, codeql, scan-build 등 사용

다운로드

다운로드 페이지가 준비되어 있으며, 배포판용 패키지를 찾을 수 있습니다. 물론 이 저장소를 git clone하거나 github의 릴리스를 확인할 수도 있습니다.

예제

다양한 예제 규칙을 제공하고 있으며, 다음과 같은 형태입니다:

# Harden the `chmod` function
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Mitigate command injection in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

규칙 위반 시 로그에 다음과 같은 줄이 표시됩니다:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

문서

원하는 모든 문서를 갖춘 포괄적인 웹사이트가 있습니다. 물론 직접 빌드할 수도 있습니다.

감사의 말

많은 감사를 드립니다:

• 거대한 영감의 원천이 된 Suhosin 프로젝트
• 초기 개발을 후원해 주신 NBS System
• 실험과 기여를 해주신 Suhosin-ng 및 후원해 주신 NLNet
• 모든 기여자 분들