Abbiamo un cliente che è molto interessato all'introduzione di codice dannoso nei moduli di terze parti, in particolare i moduli che provengono da Magento Connect (o qualsiasi modulo gratuito) Vorrebbero utilizzare uno di questi moduli ma vogliono essere certi che il modulo non contiene codice che consentirebbe a un hacker di accedere a diverse parti del proprio sito Magento.
La mia domanda è questa: esiste uno strumento che potremmo usare per scansionare il codice alla ricerca di contenuti? Qualcosa del genere, ma forse più in profondità.
function check($contents,$file) {
$this->scanned_files[] = $file;
if(preg_match('/eval\((base64|eval|\$_|\$\$|\$[A-Za-z_0-9\{]*(\(|\{|\[))/i',$contents)) {
$this->infected_files[] = $file;
}
}Anche un servizio che può essere eseguito sul server web.
Idealmente, se esistesse un servizio che scansionasse ogni commit prima che il codice entrasse nel repository sarebbe l'ideale.
Ottima domanda Sono paranoico per natura e quando installo un nuovo modulo, vado a controllare il codice per vedere se c'è qualcosa di sospetto. Il problema immagino sia per coloro che non sanno cosa stanno cercando. Un po 'come tutte quelle app torcia che accedono alla fotocamera del tuo telefono e / o al microfono. Non sai fino a quando non è troppo tardi o dai un'occhiata seria a ciò che stai installando. Detto questo, spero che qualcuno possa trovare una soluzione O che Magento Connect diventi molto più faticoso sui moduli che consentono.
—
SR_Magento
Non possono semplicemente pagarti per scaricare e quindi rivedere il codice prima di caricare sul sito del commerciante senza utilizzare Connect?
—
Kristof a Fooman il