Snuffleupagus

Módulo de segurança para php7 e php8 - Eliminando classes de bugs e aplicando correções virtuais no resto!

Principais Funcionalidades • Download • Exemplos • Documentação • Licença • Agradecimentos

O Snuffleupagus é um módulo PHP 7+ e 8+ projetado para aumentar drasticamente o custo de ataques contra sites, eliminando classes inteiras de bugs. Ele também fornece um sistema poderoso de correção virtual, permitindo que administradores corrijam vulnerabilidades específicas e auditem comportamentos suspeitos sem precisar modificar o código PHP.

Principais Funcionalidades

• Nenhum impacto perceptível no desempenho
• Regras de correção virtual poderosas e simples de escrever
• Elimina várias classes de vulnerabilidades
  • Execução de código baseada em desserialização
  • Execução de código baseada em mail
  • XSS de roubo de cookies
  • Execução de código baseada em upload de arquivos
  • PRNG fraco
  • XXE
  • Execução remota de código baseada em filtros e outras artimanhas
• Vários recursos de endurecimento
  • Flags automáticas secure e samesite para cookies
  • Conjunto de regras embutido para detectar comportamentos pós-comprometimento Modo estrito global e prevenção de manipulação de tipos
• Lista de permissões de stream wrappers
• Impedir execução de arquivos graváveis
• Lista de permissões/bloqueios para eval
• Obrigar validação de certificado TLS ao usar curl
• Capacidade de despejo de requisições
• Uma base de código relativamente sã:
  • Um conjunto de testes abrangente com cobertura próxima a 100%

Download

Temos uma página de download, onde você pode encontrar pacotes para sua distribuição, mas é claro que você pode simplesmente git clone este repositório ou conferir os lançamentos no github.

Exemplos

Disponibilizamos vários exemplos de regras, que se parecem com isso:

# Endurece a função `chmod`
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Mitiga injeção de comandos em `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

Ao violar uma regra, você deve ver linhas como estas em seus logs:

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

Documentação

Temos um site abrangente com toda a documentação que você poderia desejar. Você pode, é claro, construí-lo você mesmo.

Agradecimentos

Muitos agradecimentos a:

• O projeto Suhosin por ser uma enorme fonte de inspiração
• NBS System por patrocinar inicialmente o desenvolvimento
• Suhosin-ng por suas experimentações e contribuições, bem como a NLNet por patrociná-lo
• Todos os nossos colaboradores