Nous avons un client qui est très préoccupé par l'introduction de code malveillant dans des modules tiers, en particulier les modules provenant de Magento Connect (ou tout module gratuit). Ils aimeraient utiliser l'un de ces modules mais veulent être assurés que le module ne ne pas contenir de code permettant à un pirate d'accéder à différentes parties de son site Magento.
Ma question est la suivante: existe-t-il un outil que nous pourrions utiliser pour scanner le code pour le contenu? Quelque chose comme ça mais peut-être plus en profondeur.
function check($contents,$file) {
$this->scanned_files[] = $file;
if(preg_match('/eval\((base64|eval|\$_|\$\$|\$[A-Za-z_0-9\{]*(\(|\{|\[))/i',$contents)) {
$this->infected_files[] = $file;
}
}Même un service qui peut être exécuté sur le serveur Web.
Idéalement, s'il y avait un service qui analyserait chaque commit avant que le code n'entre dans le référentiel, l'idéal serait.
Grande question. Je suis paranoïaque par nature et lors de l'installation d'un nouveau module, je vais vérifier le code pour voir s'il y a quelque chose de suspect. Je suppose que le problème est pour ceux qui ne savent pas ce qu'ils recherchent. Un peu comme toutes ces applications de lampe de poche qui accèdent à l'appareil photo et / ou au microphone de votre téléphone. Vous ne savez pas jusqu'à ce qu'il soit trop tard ou jetez un œil sérieux à ce que vous installez. Cela étant dit, j'espère que quelqu'un pourra trouver une solution OU que Magento Connect devient beaucoup plus pénible sur les modules qu'il autorise.
—
SR_Magento
Ne peuvent-ils pas simplement vous payer pour télécharger puis réviser le code avant de le télécharger sur le site marchand sans utiliser Connect?
—
Kristof à Fooman le