我想通过ptrace()实现一个沙箱,我开始一个进程,它的所有子进程都会创建(包括孙子等). ptrace()父进程,即主管.将是一个简单的C或Python程序,从概念上讲,它将限制文件系统访问(基于路径名和访问方向(读或写)和套接字访问(例如禁止套接字创建).
我应该注意什么,以便ptrace()d进程及其子进程(递归)将无法绕过沙箱?主管应该在fork()时间做些什么特别的事情以避免竞争条件?是否可以读取例如文件名的参数.从没有竞争条件的子进程重命名()?
这是我已经计划做的事情:
> PTRACE_O_TRACEFORK | PTRACE_O_TRACEVFORK | PTRACE_O_TRACECLONE在fork()时避免(某些)种族编码
>默认情况下禁止所有系统调用,并组成允许的系统调用的白名单
>确保正确保护* at()系统调用变体(例如openat)
我还应该注意什么?
Thread 1 Supervisor Thread 2
-----------------------------------------------------------------------------------------------------
strcpy(filename,"/dev/null");
open(filename,O_RDONLY);
Check filename - OK
strcpy(filename,"/home/user/.ssh/id_rsa");
(in kernel) opens "/home/user/.ssh/id_rsa"
阻止这种情况的一种方法是禁止使用CLONE_VM标志调用clone(),另外防止创建可写的MAP_SHARED内存映射(或至少跟踪它们,以便拒绝任何尝试直接引用来自此类数据的系统调用一个映射).在允许系统调用继续之前,您还可以将任何此类参数复制到非共享跳出缓冲区中.这将有效地防止任何线程应用程序在沙箱中运行.
另一种方法是SIGSTOP跟踪每个潜在危险系统调用中的其他进程,等待它们实际停止,然后允许系统调用继续进行.返回后,然后SIGCONT它们(除非它们已经停止).不用说,这可能会对性能产生重大影响.
原文地址:https://www.jb51.cc/linux/440491.html
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。