Deireadh Suhosin; dè an ath rud?

Airson iomadh bliadhna, Tha mi gu dìcheallach air a chleachdadh Suhos le buileachadh PHP5 air Apache2 no PHP-FPM frithealaichean lìn Nginx gus dìon an aghaidh in-stealladh SQL agus ionnsaighean lìn cumanta eile. Leis an fhìrinn innse, Bha PHP5 cho tubaisteach, an dà chuid a thaobh a phrìomh thèarainteachd, agus na gnìomhan agus na modalan aige nach b’ urrainn dhomh a bhith air a chleachdadh a-riamh às aonais cruadhachadh mòr sam bith a bheir Suhosin seachad.

Leis gu bheil PHP5 air a lughdachadh agus tha na prògraman dìleab agam uile air falbh, Tha mi air fhàgail le grunn bhuileachadh PHP7 agus chan eil pìosan Suhosin rim faighinn.

Ged a, tha e fhathast comasach gu teicnigeach Suhosin a chur ri PHP 7.0 agus 7.1 (ro-alpha - chan ann airson cinneasachadh), tha e cothromach a ràdh gu bheil am pròiseact air a bhith air falbh o chionn fhada agus tha PHP7 air dearbhadh gu bheil e mar-thà faodaidh e a bhith duilich mar a bha e roimhe. Leis gu bheil mi a’ smaoineachadh air cur-ris ùr ris an WAF agus tèarainteachd bunaiteach PHP7, seo cuid de na fuasglaidhean a thàinig mi leotha:

A 'cur casg air gnìomhan dona no neo-riatanach

Tha mòran de ghnìomhan cunnartach air an togail taobh a-staigh PHP a dh’ fhaodadh a bhith cunnartach agus a bu chòir a bhith ciorramach taobh a-staigh ‘php.ini’ gu bunaiteach. Gheibh thu am faidhle config leis an àithne gu h-ìosal agus cuir à comas na gnìomhan tro vi no nano.

php -i | grep "php.ini"

ORAN DO THIGHEARNA: Ma tha thu a’ ruith diofar dhreachan de PHP aig an aon àm no ma tha am prògram air a chuir a-steach mar phàirt de thagradh treas-phàrtaidh eile, tha an teans gu bheil iomadh ‘php.ini’ agad air a chuir a-steach agus chan eil e soilleir dè am fear a tha air a luchdachadh leis an t-seirbheisiche lìn. Dèan cinnteach gu bheil thu a’ deasachadh an dreach cheart (php -v).

Cuir ris an loidhne gu h-ìosal aig deireadh faidhle ‘php.ini’, dèan cinnteach gun do shàbhail thu am faidhle, agus ath-thòisich am frithealaiche lìn. Faodaidh tu ionnsachadh mu gach aon de na gnìomhan PHP sin aig an t-seòladh so. Mar ghnìomh tomhais, is dòcha gum bi thu airson an cur ris aon às deidh aon gus dèanamh cinnteach nach toir e droch bhuaidh air na tagraidhean agad.

disable_functions = popen, eval, leak, exec, shell_exec, curl_exec, curl_multi_exec, parse_ini_file, mysql_connect, system, phpinfo, escapeshellarg, escapeshellcmd, passthru, symlink, show_source, mail, sendmail, proc_open, proc_nice, proc_terminate, proc_get_status, proc_close, pfsockopen, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid

A’ cur à comas Clàr Cruinneil agus Base64

Tha Register Global na ghnìomh le PHP a leigeas le arrays cuir a-steach don URL a thionndadh gu caochlaideach taobh a-staigh do chòd. Uime sin, faodaidh neach-ionnsaigh brath a ghabhail air còd sam bith a dh’ fhaodadh a bhith so-leònte a dh’ fhaodas a dhol seachad air arrays droch-rùnach a’ cleachdadh iarrtasan HTTP GET no POST.

Faodar Register Globals a chiorramachadh gu furasta le bhith a’ cur na loidhne gu h-ìosal aig deireadh ‘php.ini’. Na dìochuimhnich am frithealaiche lìn ath-thòiseachadh gus na h-atharrachaidhean a chuir an gnìomh.

register_globals = Off

Dìreach mar Register Globals, Tha Base64 na fheart eile nach eil riatanach gu tric a dh’ fhosglas an doras gu dorsan-cùil droch-rùnach. Faodaidh tu decoder Base64 a chuir dheth gu maireannach le bhith a’ cur an loidhne gu h-ìosal gu deireadh ‘php.ini’.

base64_decode = Off