Jak wyłączyć tworzenie gniazda dla procesu Linux, dla piaskownicy?

Question

Rozważam kilka opcji dla procesu piaskownicy w systemie Linux. Używanie clone() z CLONE_NEWNET (itp.) Jest jedną z opcji. CLONE_NEWNET zapewnia, że ​​proces piaskownicy nie może wykonywać lub akceptować rzeczywistych połączeń sieciowych. Ale chciałbym całkowicie wyłączyć gniazda dla tego procesu, nawet bind() do dowolnego portu na 0.0.0.0 i powiązać z uniksowym gniazdem unixowym (nawet anonimowym). Chciałbym to zrobić, aby zapobiec wykorzystaniu zbyt dużej ilości zasobów jądra przez powiązanie z tysiącami portów. Jak mogę to zrobić?

Ogólnie interesuję się wieloma podejściami do piaskownicy (tj. Dostarczonymi przez jądro Linuksa i egzekwowanymi przez ptrace()), ale w tym pytaniu interesuje mnie tylko aspekt tworzenia gniazda w podejściu do piaskownicy (tak jeśli sugerujesz podejście do piaskownicy, wyjaśnij również, jak zapobiec tworzeniu gniazda za pomocą tego narzędzia) i nie interesują mnie podejścia, które wymagają łatania jądra lub które wymagają załadowania modułu jądra, który nie jest częścią domyślnego pakietu jądra systemu Ubuntu Lucid lub które wpłynęłyby na każdy proces w systemie.

Answer 1

ptrace wydaje się być najbardziej oczywistym narzędziem, ale poza tym ...

util-linux [-NG] ma polecenie unshare, która wykorzystuje clone/unshare interfejsy jądra. Jeśli uruchomisz nowy proces przez unshare -n (lub clone(CLONE_NEWNET)), wszystkie utworzone przez niego gniazda sieciowe znajdują się w innym obszarze nazw. To nie rozwiązuje problemu z zasobami jądra, ale działa w trybie piaskownicy.

Jądro Linux obsługuje również seccomp, tryb wszedł z prctl(PR_SET_SECCOMP, 1) która uniemożliwia proces (dobrze, nici, naprawdę) z wywołaniem żadnych syscalls inny niż read, write, exit i sigreturn. To całkiem skuteczna piaskownica, ale trudna w użyciu z niezmodyfikowanym kodem.

Można zdefiniować domenę SELinux, która uniemożliwia dostęp do domeny socket/bind/etc. dzwoni i wykonuje dynamiczne przejście do tego typu. To (oczywiście) wymaga systemu z aktywnie egzekwującymi politykę SELinux. (Możliwe z AppArmor i Tomoyo są prawdopodobnie podobne rzeczy, ale nie jestem bardzo obeznany z żadnym z nich.)

Answer 2

Spójrz na systrace - nie ogranicza się do gniazd, ale ogólny generatora zasad/egzekutora syscall. Cytat:

Port GNU/Linux został zakończony, a łatka jądra jest aktywnie konserwowana przez Marius Eriksen. Może być uruchamiany bez zmian jądra za pomocą mechanizmu ptrace.

Disclamer - Nigdy nie próbowałem go na Linuksie.

Answer 3

Spróbuj seccomp (patrz strona podręcznika podręcznika), może ograniczyć proces tylko do dostępu do gniazd, które pozostały otwarte w czasie wykonywania połączenia prctl.

Answer 4

Możesz być zainteresowany z „sydbox” piaskownicy lub „pinktrace” Biblioteka:

http://www.diigo.com/user/wierzowiecki/sydbox

Answer 5

Jeśli Twoim głównym celem jest ograniczenie liczby gniazd uruchamianych przez łagodny proces P zastosowany na łagodnych wejściach, wówczas setrlimit(RLIMIT_NOFILE, ...) zrobi mniej więcej tyle, ile chcesz.

Jednakże, jeśli założono, że P jest szkodliwe, a nie łagodne, lub jeśli szukasz silnej pewności, że P będzie się zachowywać w obliczu potencjalnie złośliwych danych wejściowych, prawdopodobnie masz pecha: np. najlepiej, dzięki dostępnym dzisiaj narzędziom, możesz stworzyć tor przeszkód dla atakujących.

(W takiej sytuacji, jeśli tor przeszkód działa dla Ciebie, to może trochę więcej dobrych pomysłów przez wywiercenie tu na sandboxing.org lub wysyłając pytania na przyjaznych ludzi na sandboxing-talk@lists.sandboxing.org.)