PHP-Sicherheit in Snyk Code jetzt allgemein verfügbar

Vor Kurzem haben wir unsere Beta-Version mit PHP-Unterstützung in Snyk Code angekündigt. Damit lassen sich potenzielle PHP-Sicherheitslücken auf Code-Ebene erkennen. Nach einem erfolgreichen öffentlichen Betaprogramm ist die PHP-Sicherheitsunterstützung in Snyk Code jetzt allgemein verfügbar.

PHP ist eine beliebte Programmiersprache, die von Entwicklerinnen und Entwicklern auf der ganzen Welt verwendet wird. In diesem Blogbeitrag sehen wir uns einige Funktionen von Snyk Code an und zeigen, wie Sie sie mit PHP nutzen können. Außerdem stellen wir einige Beispiele vor, die Ihnen den Einstieg erleichtern – ganz gleich, ob Sie gerade anfangen oder bereits erfahrene Entwickler sind.

Neuerungen zur allgemeinen Verfügbarkeit

Die PHP-Sprachsicherheitsunterstützung in Snyk Code ergänzt unsere bestehende PHP-Scan-Funktion, die Composer-Manifeste scannt, um Sicherheitslücken in Open-Source-Bibliotheken und Abhängigkeiten zu erkennen.

Auch die Snyk-Erweiterung für Visual Studio Code unterstützt jetzt Code- und Composer-Scans für PHP. Das ist besonders nützlich, weil sie potenziell unsicheren Code während der Eingabe hervorhebt und Sie auf Sicherheitslücken in Open-Source-Bibliotheken oder Abhängigkeiten hinweist.

Mit der allgemein verfügbaren PHP-Version von Snyk Code können Sie sich mit dem Problem befassen und bei Bedarf den Codepfad durch die Codebasis zurückverfolgen. Das ist praktisch, wenn Sie nachverfolgbare Funktionen untersuchen, die an anderer Stelle im Code ihren Ursprung haben können.

Testen Sie das Scannen mit Snyk Code anhand unserer PHP-Demo-App

Was wir bei Snyk besonders gerne tun, ist die Entwicklung absichtlich verwundbarer Demo-Anwendungen, die wir goof-Apps nennen. Sie eignen sich hervorragend, um selbst aktiv zu werden und Sicherheitslücken in der Praxis zu entdecken. Mit der Einführung der PHP-Unterstützung in Snyk Code haben wir eine PHP-goof-App hinzugefügt.

Anhand der PHP-goof-App gehen wir einige Beispiele durch. Wenn Sie es selbst ausprobieren möchten, benötigen Sie ein Snyk-Konto. Falls Sie noch keines haben, können Sie in wenigen Sekunden kostenlos eines erstellen.

Melden Sie sich zunächst beim Snyk-Dashboard an und fügen Sie dann ein Projekt hinzu. Für diesen Scan können Sie die Option öffentliches Repository überwachen verwenden, um das PHP-goof-App-Repository zu scannen. Alternativ können Sie den Code forken und mit einem Repository Ihrer Wahl verbinden.

Profi-Tipp: Das Scannen öffentlicher Repositories ist auch hilfreich, um Open-Source-Projekte zu scannen, die Sie täglich verwenden.

Der Scan dauert nur wenige Augenblicke. Sie sehen bereits, dass mehrere Probleme sowohl im Code als auch in den Paketmanifesten gefunden wurden. Snyk Code erkennt Dutzende Problemtypen und buchstäblich Millionen von Source-Sink-Kombinationen in Datenflüssen. Sehen wir uns zwei sehr häufige Beispiele anhand der PHP-goof-App an.

SQL-Injection

Als Erstes fällt nach dem Scan auf, wie einfach Snyk Code die Untersuchung Ihres Codes macht. Im Screenshot unten sehen Sie, dass eine Datenbankabfrage erkannt wird, an die ungefilterte Eingaben übergeben werden.

Snyk Code macht Sicherheitslücken nicht nur schnell und verständlich sichtbar, sondern liefert auch eine Analyse zur Behebung und konkrete Empfehlungen. Wenn Sie PHP entwickeln und über wenig Sicherheitserfahrung verfügen, wissen Sie vielleicht nicht, dass es verschiedene Möglichkeiten gibt, Eingaben in PHP sicher zu bereinigen – entweder mithilfe einer Bibliothek oder mit der Funktion filter_var. Snyk bietet Ihnen die Sicherheitsexpertise in Echtzeit, die Sie benötigen, um Ihren Code sicher zu halten, und unterstützt Sie dabei, Ihr Wissen auszubauen.

Wenn Sie mehr über PHP-Sicherheit erfahren möchten, lesen Sie unseren Beitrag 5 Möglichkeiten, PHP-Code-Injection zu verhindern.

Verwendung hartcodierter Zugangsdaten

In der goof-App haben wir absichtlich hartcodierte MySQL-Zugangsdaten verwendet, damit sie beim Snyk-Code-Scan gefunden werden. Wie Sie im Screenshot unten sehen, hat Snyk Code diese erkannt und als Problem markiert. (Sicherer lassen sich Zugangsdaten im Code handhaben, indem Sie sie als Umgebungsvariablen speichern – entweder auf der Plattform oder in einer Umgebungsdatei.)

Sicherheitslücken in Open-Source-Software

Außerdem hat der Scan ein Problem mit einer Version einer Open-Source-Bibliothek im Composer-Manifest erkannt. Sie wurde absichtlich in die App aufgenommen, um zu zeigen, wie eine Cross-Site-Scripting-Sicherheitslücke entstehen kann.

Sichern Sie Ihre PHP-Projekte ab

Wir freuen uns sehr, dass die PHP-Unterstützung in Snyk Code jetzt allgemein verfügbar ist, und hoffen, dass es Ihnen genauso geht. Probieren Sie sie mit einem kostenlosen Snyk-Konto aus und schicken Sie uns Ihr Feedback.