Snuffleupagus

针对 php7 和 php8 的安全模块 —— 消灭漏洞类别，虚拟补丁其余部分！

主要特性 • 下载 • 示例 • 文档 • 许可证 • 致谢

Snuffleupagus 是一个 PHP 7+ 和 8+ 模块，旨在通过消灭整个漏洞类别来大幅提高攻击网站的成本。它还提供了一个强大的虚拟补丁系统，允许管理员修复特定漏洞并审计可疑行为，而无需修改 PHP 代码。

主要特性

• 没有明显的性能影响
• 编写虚拟补丁规则既强大又简单
• 消灭多种漏洞类别
  • 基于反序列化的代码执行
  • 基于 mail 的代码执行
  • Cookie 窃取型 XSS
  • 基于文件上传的代码执行
  • 弱 PRNG（伪随机数生成器）
  • XXE（XML 外部实体攻击）
  • 基于过滤器的远程代码执行及相关问题
• 多种加固特性
  • 自动为 Cookie 添加 secure 和 samesite 标志
  • 内置规则集，用于检测入侵后的行为
  • 全局严格模式及类型混淆防护
  • 流包装器白名单
  • 防止可写文件执行
  • eval 的白名单/黑名单
  • 使用 curl 时强制验证 TLS 证书
  • 请求转储功能
• 相对合理的代码库：
  • 接近 100% 覆盖率的全面测试套件
  • 每次提交都在多个发行版上进行测试
  • 采用 clang-format 强制代码风格
  • 全面的文档

下载

我们有一个下载页面，你可以从中找到适合你发行版的软件包，当然你也可以直接 git clone 此仓库，或查看 GitHub 上的发布版本。

示例

我们提供了各种示例规则，如下所示：

# 加固 `chmod` 函数
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# 缓解 `system` 中的命令注入
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

当规则被违反时，你应该能在日志中看到类似这样的行：

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

文档

我们有一个全面的网站，包含你可能想要的所有文档。当然，你也可以自己构建它。

致谢

衷心感谢：

• Suhosin 项目 —— 一个巨大的灵感来源
• NBS System —— 最初赞助开发
• Suhosin-ng —— 感谢他们的实验和贡献，以及 NLNet 的赞助
• 所有我们的贡献者