Wir haben einen Kunden, der sehr besorgt darüber ist, dass bösartiger Code in Modulen von Drittanbietern eingeführt wird, insbesondere in Modulen, die von Magento Connect (oder einem beliebigen freien Modul) stammen. Sie möchten eines dieser Module verwenden, möchten jedoch sicher sein, dass das Modul dies tut keinen Code enthalten, der es einem Hacker ermöglicht, auf verschiedene Teile seiner Magento-Site zuzugreifen.
Meine Frage lautet: Gibt es ein Tool, mit dem wir Code nach Inhalten durchsuchen können? So etwas, aber vielleicht ausführlicher.
function check($contents,$file) {
$this->scanned_files[] = $file;
if(preg_match('/eval\((base64|eval|\$_|\$\$|\$[A-Za-z_0-9\{]*(\(|\{|\[))/i',$contents)) {
$this->infected_files[] = $file;
}
}Sogar ein Dienst, der auf dem Webserver ausgeführt werden kann.
Idealerweise wäre es ideal, wenn es einen Dienst gäbe, der jedes Commit scannt, bevor Code in das Repo gelangt.
Gute Frage. Ich bin von Natur aus paranoid und wenn ich ein neues Modul installiere, überprüfe ich den Code, um festzustellen, ob etwas Verdächtiges vorliegt. Das Problem, denke ich, ist für diejenigen, die nicht wissen, wonach sie suchen. Ein bisschen wie all diese Taschenlampen-Apps, die auf die Kamera und / oder das Mikrofon Ihres Telefons zugreifen. Sie wissen es erst, wenn es zu spät ist, oder schauen sich ernsthaft an, was Sie installieren. Abgesehen davon hoffe ich, dass jemand eine Lösung finden kann ODER dass Magento Connect die von ihm zugelassenen Module viel anstrengender macht.
—
SR_Magento
Können sie Sie nicht einfach für das Herunterladen und anschließende Überprüfen des Codes bezahlen, bevor Sie es auf die Händlerseite hochladen, ohne Connect zu verwenden?
—
Kristof bei Fooman