2

Есть ли возможность выполнить бинарник (без зависимостей), в некой более легковесной песочнице, чем виртуальная машина, при том, что бинарнику я не доверяю?

Желательно, что бы можно было ограничить доступные процессу ресурсы (диск, память, CPU, т.д.).

Копал в сторону LXC, но, как я понял, он не даёт никаких гарантий безопасности.

7
  • Docker более сейчас моден.
    – don Rumata
    18 фев 2017 в 12:14
  • да, но Docker это обёртка над LXC
    – Егор
    18 фев 2017 в 13:22
  • А операционка - обёртка над i/o и tcp/ip, которые являются обёртками для тактов в CPU, который является обёрткой над реализацией законов физики. Чтобы поиграть в Zuma Deluxe ты же не считаешь на абаке?
    – don Rumata
    18 фев 2017 в 13:37
  • не даёт никаких гарантий безопасности — да, бумаги с гербовой печатью в данном случае ожидать не стоит. 18 фев 2017 в 17:13
  • а что подразумевается под безопасностью?
    – etki
    19 фев 2017 в 12:12

1 ответ 1

1

Я что-то не понимаю, Вы говорите о Linux, или о виндовозе ?! Заведите пользователя по имени test, скопируйте в его домашнюю директорию подозрительный ELF и задайте для этого пользователя лимиты по диску и ЦП. Все...

  1. запретить доступ к памяти других процессов. А что - есть способ получить доступ к памяти ДРУГОГО процесса ?! Ну, за исключением ОБОЮДНОГО согласия по shm...

  2. запретить доступ к диску. Болььше установленной квоты он не изгадит. В чужие домашние папки он не попадёт. Файл /etc/shadow не прочитает :-) Чего боитесь ?

  3. запретить доступ к сети. Перед запуском ELF скажите sudo ifconfig eth0 down. Всё... Никакой сети!

  4. запретить доступ к устройствам Если Вы не дадите пользователю test прав root-а, то они и не будут доступны.

9
  • а что будут делать остальные процессы на хосте без сети?
    – etki
    20 фев 2017 в 7:31
  • А подождать 10 секунд они не могут ? Или Ваш подозрительный ELF должен работать часами? Я понял, что Вы просто хотите проверить, что он не уронит систему...
    – Sergey
    20 фев 2017 в 7:33
  • я не автор, но запустить виртуалку для однократной проверки он смог бы, думаю.
    – etki
    20 фев 2017 в 7:34
  • 1
    Бинарник заэксплуатирует дыру в ядре и получит root :)
    – andreymal
    20 фев 2017 в 7:35
  • запустить виртуалку для однократной проверки - мне кажется, что проблема совершенно надуманная. Linux - это не виндовоз и "уложить" его очень даже не просто. Ничего "такого" этот ELF не сделает! Что-то я не слышал об успешных взломах linux-систем без участия "человеческого фактора"...
    – Sergey
    20 фев 2017 в 7:43

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.