suhosin PHP-Patch und PHP-Security Extension Peter Prochaska -

Transkript

1 suhosin PHP-Patch und PHP-Security Extension

2 Peter Prochaska Freiberuflicher Security-Consultant, PHP- Entwickler, Trainer und Autor. PHP-Entwickler seit 1998 Buchautor: PHP-Sicherheit, dpunkt.verlag Mitentwickler der suhosin-extension

3 Vorab erstmal R.I.P HARDENED-PHP-PROJECT

4 Hardened-PHP-Project Auf der PHP-Conference im November 2007 wurde beschlossen, dass das Hardened-PHP-Project aufgelöst wird. Der Patch und die Extension werden aber aktiv weiterentwickelt. Support gibt es weiterhin. Business-Services ebenso.

5 Personen Stefan Esser Eigene Firma Sektor Eins GmbH. Entwickelt suhosin-extension und Patch weiter. Bietet Security-Audits und Support an. Peter Prochaska Freiberufler Bietet Schulungen, Security Audits und Support für suhosin an.

6 Da war doch noch Christopher Kunz Arbeitet nun im RZ seiner Universität. Bietet, über seine Firma de-punkt, sicheres Webhosting an. Alle Drei arbeiten eng zusammen!

7 suhosin Aufbau suhosin besteht aus 2 Teilen suhosin-patch suhosin-extension Patch sichert Kern von PHP ab Extension schützt Anwendungen

8 Integration in PHP suhosin ist die erste Extension, die geladen wird PHP Kern suhosin Standard DOM MySQL suhosin- Patch ZLib

9 Warum suhosin? Kommt darauf an, wie man PHP nutzt. Bei eigenen Skripten und eigenem Server: Vertraut man sich selber: NEIN Ist man nicht perfekt: JA Eigener Server und fremde Skripte: Auf jeden Fall installieren! Fremder Server: Man sollte mal mit dem Provider reden

10 suhosin-patch Schützt den Memory-Manager von PHP gegen Buffer-Overflows. Canary-Protection SafeUnlink Protection Destructor-Protection Zend Hashtables Zend Linked Lists

11 suhosin-patch Schutz vor Format-String-Schwachstellen Ersetzt die realpath() Implementierung von PHP Die realpath()-funktion aus FreeBSD wird verwendet.

12 suhosin-patch Download: Installation: cd php-5.x.x patch p 1 i../suhosinpacth-5.x.x-0.9.x.patch

13 suhosin-extension Die Extension kann Anwendungen lahmlegen! Lösung: Simulationsmodus Blockt nicht, logt nur Hash sha256() und sha256_file() wird dem PHP-Kern hinzugefügt. CRYPT_BLOWFISH Verschlüsselung wird auf allen Systemen unterstützt (crypt()).

14 phpinfo() phpinfo() Schutz Verbietet Suchmaschinen das Indizieren und Archivieren. Spezieller Meta-Tag Demo: Beispiel 01

15 Cookie Encryption Transparente Cookie Encryption Alle Cookies werden verschlüsselt Nur mit Schlüssel Schlüssel + User Agent Schlüssel + Document Root Schlüssel + IP Adresse Verschlüsselung ohne IP + Check auf gültige IP- Adresse

16 Cookie Encryption Transparente Cookie Encryption Liste von Cookies die Verschlüsselt werden sollen Liste von Cooies die nicht verschlüsselt werden sollen. Demo: Beispiel 02

17 Session Encryption Transparente Session Encryption Alle Session-Dateien werden verschlüsselt Nur mit Schlüssel Schlüssel + User Agent Schlüssel + Document Root Schlüssel + IP Adresse Verschlüsselung ohne IP + Check auf gültige IP- Adresse Demo: Beispiel 03

18 Speicherschutz PHP hat Probleme mit zu tief verschachtelten Rekursionen! Mit suhosin kann man diese begrenzen: suhosin.executor.max_depth Gibt die maximale Rekursionstiefe an

19 Include Schutz suhosin begrenzt die../ in einer Pfadangabe, die an include() oder require() übergeben wird. suhosin.executor.inlucde.max_traversal=1 verbietet include("../test.php"); Demo: Beispiel 04

20 Funktion Blacklist/Whitelist disable_function hat Auswirkungen auf den kompletten PHP-Prozess. suhosin.executor.func.whitelist und suhosin.executor.func.blacklist kann innerhalb einer.htaccess Datei gesetzt werden.

21 eval Schutz eval() kann komplett verboten werden Funktionen in eval() können per Whitelist erlaubt bzw. per Blacklist verboten werden. Demo: Beispiel 05

22 e-modifier Was ist das? Jeder kennt eval(), aber kaum jemand preg_replace() mit /e /e bedeutet execute. Hier kann beliebiger PHP Code ausgeführt werden. suhosin.executor.disable_emodifier verbietet den /e modifier.

23 Multiheader suhosin schützt vor HTTP-Response- Splitting suhosin.multiheader=off Kein \n mehr in der header()-funktion

24 mail() Protection suhosin.mail.protect = 1 Verhindert Newlines in Subject:, To: Verhindert doppelte Newlines in Additional Headers suhosin.mail.protect = 2 Verhindert zusätzlich Newline in CC: und BCC:

25 memory_limit Jedes PHP-Skript kann sein Memory Limit selber über ini_set() setzen. 0 bedeutet, das Limit bleibt das selbe wie beim Skriptstart 16M bedeutet z.b. das ein Limit von 16 MB nicht überschritten werden kann, auch wenn in der php.ini nur 8 MB gesetzt sind.

26 Filter suhosin bietet keine Filter wie mod_security suhosin schützt gegen Überläufe in Arrays, Variablen usw.

27 Filter Um suhosin zu sagen, wie es auf eine Filterverletzung regieren soll, gibt es die Filter-Aktion. suhosin.filter.action HTTP-Return-Code, Skript wird nicht ausgeführt. 402 oder 404 usw. [404,] HTTP-Return-Code plus Umleitung [404,]/var/skripts/badguy.php. HTTP-Return-Code plus ausführen eines Skriptes.

28 Filter suhosin.x.max_array_depth Mit der Tiefe hier, ist die Rekursionstiefe gemeint. array[ ][ ][ ][ ][ ][ ][ ] Hier sind nicht die Elemente in einem Array gemeint.

29 Filter suhosin.x.max_array_index_length Es wird die Länge des Array Index begrenzt. array["array_index"]

30 Filter suhosin.x.max_name_length Der Name der Variablen wir begrenzt $name = " "; suhosin.x.max_value_length Der Inhalt der Variablen wird begrenzt. Gilt auch für Arrays

31 Filter suhosin.x.max_vars Es kann die maximale Anzahl der Variablen festgelegt werden. suhosin.x.disallow_nul Alle %00, \0 Zeichen im URL können verboten werden. Demo: Bsp06

32 Filter Das X bedeutet get post cookie request

33 Upload Schutz Binaries/ELF-Binaries können verboten werden Der Upload kann durch ein eigenes Skript überprüft werden. Demo: Bsp07

34 Logging Es kann ins syslog weggeschrieben werden. Verschiedene Klassen: S_MEMORY, S_EXECUTOR usw. Die Log-Facility kann bestimmt werden (systemabhängig!). LOG_USER, LOG_KERN usw. Die Priotität kann bestimmt werden LOG_EMERG, LOG_ERR, LOG_INFO usw.

35 Logging Die Priotität kann bestimmt werden LOG_EMERG, LOG_ERR, LOG_INFO usw. Es kann aber auch ins SAPI-Error-Log geschrieben werden.

36 Logging suhosin.log.script Hier können die Klassen angegeben werden, die geloggt werden sollen S_EXECUTOR, S_INCLUDE usw. suhosin.log.script.name Voller Pfad zu einem externen Logskript. 2 Parameter: $Klasse und $Message

37 Logging suhosin.log.phpscript Hier können die Klassen angegeben werden, die geloggt werden sollen S_EXECUTOR, S_INCLUDE usw. suhosin.log.phpscript.name Voller Pfad zu einem externen Logskript. 2 Parameter: $Klasse und $Message

38 Logging suhosin.log.use_x_forwarded_for Suhosin loggt immer die IP des Angreifers mit. Falls der Angreifer hinter einem Proxy sitzt, kann mit diesem Schalter der X_FORWARDED_FOR-Header wegeloggt werden.

39 Fazit Da die Extension kaum Performance kostet, kann Sie nach ausfühlichen Tests, problemlos eingesetzt werden. Sie bietet einen maximal Schutz gegen Überläufe und Remote-Code-Execution. Fragen??????