Suhosinの終わり; 次は何ですか?

長年にわたり, 熱心に使用してきました Suhosin SQLインジェクションやその他の一般的なウェブ攻撃から防御するために、Apache2またはPHP-FPM Nginxウェブサーバー上のPHP5の実装で. 実際、, PHP5は非常にひどいものでした, コアセキュリティの観点からも, その機能やモジュールにおいても、Suhosinが提供する重要な強化なしに使用することは考えられませんでした.

PHP5が廃止され、私のレガシープログラムはすべて消えた今、, 私はPHP7のいくつかの実装と利用可能なSuhosinパッチがない状態に残されています.

ただし、, 技術的にはPHPにSuhosinを追加することはまだ可能です 7.0 そして 7.1 (プレアルファ - 生産用ではありません), プロジェクトは長い間存在しなくなっており、PHP7はすでにそれが 問題を引き起こす可能性があることを証明しました それは前任者のように. PHP7のWAFとコアセキュリティへの新しい追加を考えているとき、, これが私が考えた解決策のいくつかです:

悪いまたは不必要な機能を無効にすること

PHPには潜在的に危険な多くのリスクのある関数が組み込まれており、デフォルトで「php.ini」で無効にする必要があります. 以下のコマンドを使用して設定ファイルを見つけ、viまたはnanoで関数を無効にできます.

php -i | grep "php.ini"

ご注意ください: 複数のPHPバージョンを同時に実行している場合や、プログラムが他のサードパーティアプリケーションの一部としてインストールされている場合, その場合、複数の「php.ini」がインストールされている可能性が高く、どれがウェブサーバーによって読み込まれているのかは不明です. 正しいバージョンを編集していることを確認してください (php -v).

「php.ini」ファイルの最後に以下の行を追加してください, ファイルを保存したことを確認してください, そしてウェブサーバーを再起動してください. これらのPHP関数について学ぶことができます このアドレスで. 減らすべき行動として, それらを一つずつ追加して、アプリケーションに悪影響を与えないことを確認することをお勧めします.

disable_functions = popen, eval, leak, exec, shell_exec, curl_exec, curl_multi_exec, parse_ini_file, mysql_connect, system, phpinfo, escapeshellarg, escapeshellcmd, passthru, symlink, show_source, mail, sendmail, proc_open, proc_nice, proc_terminate, proc_get_status, proc_close, pfsockopen, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid

Register GlobalsとBase64を無効にする

Register Globalは、URLへの入力配列をコード内の変数に変換するPHPの関数です. したがって, 潜在的に脆弱なコードは、HTTP GETまたはPOSTリクエストを使用して悪意のある配列を渡す攻撃者によって悪用される可能性があります.

Register Globalsは、「php.ini」の最後に以下の行を追加することで簡単に無効にできます. 変更を実行するためにウェブサーバーを再起動するのを忘れないでください.

register_globals = Off

Register Globalsのように, Base64は、悪意のあるバックドアを開くしばしば不要な機能です. ‘php.ini’の最後に以下の行を追加することで、Base64デコーダーを永久に無効にできます.

base64_decode = Off