Snuffleupagus

适用于 php7 和 php8 的安全模块 - 消除 bug 类别并对其余进行虚拟补丁！

主要特性 • 下载 • 示例 • 文档 • 许可证 • 致谢

Snuffleupagus 是一个 PHP 7+ 和 8+ 模块，旨在通过消除整个 bug 类别来大幅提高攻击网站的成本。它同时还提供了一个强大的虚拟补丁系统，使管理员无需修改 PHP 代码即可修复特定漏洞并审计可疑行为。

主要特性

• 无明显的性能影响
• 强大但易于编写的虚拟补丁规则
• 消除几类漏洞
  • 基于反序列化的代码执行
  • 基于 mail 的代码执行
  • 窃取 Cookie 的 XSS
  • 基于文件上传的代码执行
  • 弱 PRNG
  • XXE
  • 基于过滤器的远程代码执行及相关操作
• 若干强化功能
  • 自动为 Cookie 添加 secure 和 samesite 标志
  • 内置规则集，用于检测后渗透行为
  • 全局严格模式及类型混用预防
  • 流包装器白名单
  • 阻止可写文件执行
  • eval 的白名单/黑名单
  • 使用 curl 时强制验证 TLS 证书
  • 请求转储能力
• 相对合理的代码基础：
  • 接近 100% 覆盖率的全面测试套件
  • 每次提交都在多个发行版上测试
  • 使用 clang-format 强制代码风格
  • 完善的文档
  • 使用 、codeql、 等工具

下载

我们有一个下载页面，您可以在其中找到适合您发行版的软件包，当然您也可以直接 git clone 本仓库，或查看 GitHub 上的发布版本。

示例

我们提供了各种示例规则，示例如下：

# Harden the `chmod` function
sp.disable_function.function("chmod").param("mode").value_r("^[0-9]{2}[67]$").drop();

# Mitigate command injection in `system`
sp.disable_function.function("system").param("command").value_r("[$|;&`\\n]").drop();

当违反规则时，您应该在日志中看到类似以下的行：

[snuffleupagus][0.0.0.0][disabled_function][drop] The execution has been aborted in /var/www/index.php:2, because the return value (0) of the function 'strpos' matched a rule.

文档

我们有一个全面的网站，包含您可能需要的所有文档。当然，您也可以自行构建。

致谢

特别感谢：

• Suhosin 项目 —— 巨大的灵感来源
• NBS System —— 最初赞助了开发
• Suhosin-ng 的实验和贡献，以及 NLNet 的赞助
• 所有贡献者