La fine di Suhosin; cosa c'è dopo?

Per molti anni, ho usato con zelo Suhosin con qualsiasi implementazione di PHP5 su server web Apache2 o PHP-FPM Nginx per difendermi contro l'iniezione SQL e altri attacchi web comuni. Infatti, PHP5 è stato così disastroso, sia in termini di sicurezza del core, sia nelle sue funzioni e moduli che non avrei mai potuto concepire di usarlo senza alcun significativo indurimento fornito da Suhosin.

Poiché PHP5 è deprecato e i miei programmi legacy sono tutti scomparsi, mi ritrovo con diverse implementazioni di PHP7 e nessuna patch Suhosin disponibile.

Anche se, è ancora tecnicamente possibile aggiungere Suhosin a PHP 7.0 e 7.1 (pre-alpha – non per produzione), è giusto dire che il progetto è scomparso da tempo e PHP7 ha già dimostrato che può essere problematico come lo era il suo predecessore Mentre sto pensando a una nuova aggiunta al WAF e alla sicurezza del core di PHP7. queste sono alcune delle soluzioni che ho trovato, Disabilitare funzioni cattive o non necessarie:

Disabilitare funzioni cattive o non necessarie

Ci sono molte funzioni rischiose integrate in PHP che sono potenzialmente pericolose e dovrebbero essere disabilitate in ‘php.ini’ per impostazione predefinita. Puoi trovare il file di configurazione usando il comando qui sotto e disabilitare le funzioni tramite vi o nano.

php -i | grep "php.ini"

SI PREGA DI NOTARE: Se stai eseguendo varie versioni di PHP simultaneamente o il programma è installato come parte di un'altra applicazione di terze parti, allora le probabilità sono alte che tu abbia più ‘php.ini’ installati e non è chiaro quale venga caricato dal server web. Assicurati di modificare la versione corretta (php -v).

Aggiungi la riga qui sotto alla fine del file ‘php.ini’, assicurati di aver salvato il file, e riavvia il server web. Puoi apprendere di ciascuna di queste funzioni PHP a questo indirizzo. Come azione misurata, potresti volerle aggiungere una per una per assicurarti che non influisca negativamente sulle tue applicazioni.

disable_functions = popen, eval, leak, exec, shell_exec, curl_exec, curl_multi_exec, parse_ini_file, mysql_connect, system, phpinfo, escapeshellarg, escapeshellcmd, passthru, symlink, show_source, mail, sendmail, proc_open, proc_nice, proc_terminate, proc_get_status, proc_close, pfsockopen, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid

Disabilitare Register Globals e Base64

Register Global è una funzione di PHP che consente agli array di input nell'URL di essere convertiti in variabili all'interno del tuo codice. Pertanto, qualsiasi codice potenzialmente vulnerabile può essere sfruttato da un attaccante che può inviare array dannosi utilizzando richieste HTTP GET o POST.

Register Globals può essere facilmente disabilitato aggiungendo la riga qui sotto alla fine di ‘php.ini’. Non dimenticare di riavviare il server web per eseguire le modifiche.

register_globals = Off

Proprio come Register Globals, Base64 è un'altra funzione spesso non necessaria che apre la porta a backdoor malevoli. Puoi disabilitare permanentemente il decoder Base64 aggiungendo la riga sottostante alla fine di 'php.ini'.

base64_decode = Off