Come impedire che una chiamata di sistema venga eseguita con ptrace

Question

Sto lavorando su un sistema di tipo Ideone in cui il codice utente non attendibile deve essere eseguito in modalità sandbox.

Per questo ho cercato le possibilità di ptrace per un primo livello di protezione. Tuttavia, dopo alcuni esperimenti sembra che:

• Posso intercettare una chiamata di sistema prima che venga chiamata e modificare gli argomenti di input.
• Posso intercettare una chiamata di sistema dopo che è stata chiamata e modificare il valore di ritorno.
• Tuttavia, non sembra esserci alcun modo per evitare che la chiamata si interrompa del tutto (tranne che per uccidere l'intera applicazione).

Desidero intercettare determinate chiamate di sistema e restituire un codice risultato falso senza che la chiamata si verifichi effettivamente. C'è un modo per implementare questo?

Answer 1

è possibile saltare l'istruzione che esegue la chiamata di sistema, incrementando l'IP (puntatore di istruzioni), in questo modo la chiamata non verrà eseguita ed è possibile impostare il valore di ritorno come al solito.

Edit:

C'è un involucro ptrace chiamato pinktrace, che dovrebbe rendere il lavoro più facile, anche qualche informazione in più su:

https://security.stackexchange.com/questions/8484/wrapping-system-call-in-reliable-and-secure-way

Answer 2

Si prega di tenere presente che il vostro sandbox può solo essere sicuro se il codice che esegue non è multi-thread. Dovrai anche fare molta attenzione per evitare che il codice sandbox venga estratto dal biforcarsi.

Si veda, ad esempio, la seguente discussione di un elaborato sui problemi di Robert Watson:

Exploiting races in system call wrappers

La carta è legata al detto articolo, ma io offro il link qui direttamente come bene:

"Exploiting Concurrency Vulnerabilities in System Call Wrappers"

l'approccio migliore sembra essere ancora, come è raccomandato da Watson: integrare il quadro di sicurezza del tutto nel kernel e prendersi cura nel suo utilizzo per evitare Concu problemi di competenza. Linux e NetBSD e Mac OS X e altri sistemi orientati alla sicurezza forniscono già tali framework e quindi tutto ciò che è necessario se si utilizzano tali sistemi è quello di implementare le policy all'interno di tali framework esistenti. Cioè non tentare nemmeno di implementare i criteri di sicurezza in involucri di chiamata di sistema o altri meccanismi di interposizione di chiamata di sistema.