linux - UNIX ptrace() 阻止子系统调用

Question

我正在为编程竞赛开发一个分级机。基本上，评分者必须在“孤立”的过程中运行解决方案。所以，我希望解决方案不要调用任何有害的系统调用（例如 system()、fork() 等）。我可以使用 ptrace() 来实现吗？

Answer 1

我认为有两种可能的解决方案：

1. 使用 LD_PRELOAD 机制创建 'shim' 来替换您想要停止的系统调用。
2. 使用 setrlimit() 来限制调用进程可以做什么。不幸的是，这些限制似乎是每个用户而不是每个进程的基础，这使得计算要设置的正确值变得非常困难。

编辑：我有第一个选项工作，并在下面包含了必要的代码。使用构建二进制文件make all，然后使用make runtests：

$ make all
gcc -fPIC -shared -Wl,-soname,libmy.so.1 -o libmy.so.1.0 lib.c
ln -sf libmy.so.1.0 libmy.so.1
ln -sf libmy.so.1 libmy.so
gcc -o test test.c

$ make runtests
Without LD_PRELOAD:
./test
in child: retval=9273
in parent: retval=0
With LD_PRELOAD:
LD_PRELOAD=./libmy.so ./test
libmy.so fork!
fork error: error=Operation not permitted (1)

生成文件：

all: libs test

runtests:
    @echo Without LD_PRELOAD:
    ./test
    @echo With LD_PRELOAD:
    LD_PRELOAD=./libmy.so ./test


libs: lib.c
    gcc -fPIC -shared -Wl,-soname,libmy.so.1 -o libmy.so.1.0 lib.c
    ln -sf libmy.so.1.0 libmy.so.1
    ln -sf libmy.so.1 libmy.so

test: test.c
    gcc -o test test.c

clean:
    rm -f test libmy.so.1.0 libmy.so.1 libmy.so lib.o

lib.c：

#include <stdio.h>
#include <unistd.h>
#include <errno.h>

pid_t fork()
{
    printf("libmy.so fork!\n");
    errno = EPERM;
    return (pid_t)-1;
}

测试.c：

#include <stdio.h>
#include <string.h>
#include <errno.h>

int main(int argc, char **argv)
{
    int retval = fork();
    if (retval == 0)
        printf("in parent: retval=%d\n", retval);
    else if (retval > 0)
        printf("in child: retval=%d\n", retval);
    else
        printf("fork error: error=%s (%d)\n", strerror(errno), errno);
    return 0;
}

Answer 2

是的，您可以使用 ptrace() 使用 PTRACE_SYSCALL 选项阻止某些系统调用。这是一个使用此功能的项目：

https://github.com/t00sh/p-sandbox/blob/master/p-sandbox.c

如果您只针对 Linux，我建议您改为使用 seccomp，这是一种更快的技术，可以将某些系统调用列入白名单/黑名单或限制它们的参数。

另一种选择是 Google 的Native Client。该项目提供了应用程序沙箱的跨平台实现。

您还可以在 docker 或 LXC 等容器中以非特权用户身份运行应用程序以限制损坏。

单独使用LD_PRELOAD是不安全的，因为可执行文件可能带有它们自己的系统调用实现并绕过底层的 libc。