"Песочница" в Windows своими руками (велосипед)?
Добрый вечер.
Недавно заинтересовался — каким образом на различных олимпиадах контроллируется поведение программ участников? Нет, понятно конечно, что самими участниками (в случае нарушения обычно идёт дисквалификация), но с программной точки зрения. Например: запрещение работы с сетью, файловой системой, процессами и пр. Т.е. можно только читать/выводить в stdin/stdout, выделять немного памяти и вызывать стандартные функции (libc).
В eJudge этот вопрос решён добавлением if'а во все системные вызовы (патч к ядру). Но это под Linux.
Вопрос — как пишется такого рода «песочница» под Windows? Запуск от гостя решает много проблем, и пролезть достаточно сложно. Но хочется полное решение. В какую сторону копать, что читать, есть ли документированные методы. Готовые программы есть, но хочется собрать хоть какой-то велосипед своими руками.
На олимпиадах, насколько я знаю, так обычно и делают — этому юзеру режут все права на ФС, реестр и прочее. Но тут вопрос не про то, как сделать, чтобы работало, а как написать песочницу, которая лочит по максимуму — из спортивного интереса.
Comodo Time Machine — как первый пример. Он защитит.
Если же нужна серьёзная система с возможностью управления по сети нескольких компьютеров — задумайтесь о платной Faronics DeepFreeze.
Если же речь о запуске отдельного приложения в песочнице (приложение не лезет в кернелмод, т.е. не ставит свои драйвера) — можно воспользоваться Sandboxie в её бесплатном варианте.
Не надо драйверов. Practical Windows Sandboxing в трех частях. ACL-ей хватает с головой для ограничения практически всего (в том числе и виндового нетворкинга — пайпов и мейлслотов, для berkeley sockets придется использовать встроенный файрвол) — собственно для подобного контроля доступа они и были придуманы.
Хромовская песочница — довольно независимый от остального хрома проект. Так что можно вытащить и использовать в личных целях.
За олимпиады не скажу, но в Win есть один простой метод: перехват вызовов.
Если есть возможность — запустите AVZ на системе с установленным антивирусом (особенно KAV), посмотрите на список перехваченных вызовов и сделайте выводы.
Знаю, что в NSUTS (система Новосибирского ГУ) используется WinKiller. + там под каждого пользователя создается отдельный юзер с практически нулевыми правами.
Скачать десятимегабайтный Windows Research Kernel;
Как и eJudge, добавить if'ы во все системные вызовы;
Скомпилировать ядро и заменить старый ntoskrnl/ntkrnlpa новым;
???
PROFIT!
Средний
