创建一个安全的Lua沙盒？

2015-12-21 2:49:3
收藏：0
阅读：88
评论：1

现在我正在做很多事情。

local env = {
    print = print,
}

使用 setfenv(func, env) 然后使用元方法来锁定实例的属性，但它真的很低效，有很多绕过方式。我在谷歌上搜了，发现所有的都和这个一样：不起作用。

点赞
用户734069
用户734069

在 Lua 5.1 中，沙盒化非常简单。如果你有一个 Lua 脚本文件，并且想要防止它访问除了你提供的参数之外的任何函数或其他内容，你可以这样做：

local script = --通过任何方式加载脚本。不要运行它！
setfenv(script, {})

现在，script 已经被沙盒化。它不能访问除你直接提供的值之外的任何内容，它所创建的函数不能访问这个沙盒环境外的东西。除了你允许它访问的内容，你的原始全局环境完全与它们隔绝。

显然，你可以在那个表里放任何你喜欢的东西。该表包含你想要让 Lua 脚本访问的所有全局可访问内容。你应该给 Lua 脚本访问基本的 Lua 标准库函数；其中大多数是纯函数，不会做任何不良处理的事情。

这里有一个 Lua 标准库的列表，如果你想保持沙盒的完整性，__你_必须_禁止用户访问这些函数：

  • getfenv。用户可以通过setfenv创建它自己的小型沙盒，可以有正当的理由使用它。但是，如果你想保持沙盒的完整性，你不能允许访问你放在沙盒中的任何函数的环境。
  • getmetatable：与上面的原因相同；设置元表是可以的。但是，如果恶意代码改变其元表，恶意代码会破坏对象，但恶意代码也可以通过无限循环来破坏整个系统。
  • 整个debug库。通过调试库，所有各种种类的骗术都是可能的。

你还需要解决Lua 5.1从Lua脚本中加载字节码时的问题。这可以用来打破沙盒。不幸的是，Lua 5.1 实际上没有好的工具来解决这个问题。在 Lua 5.2+ 中，你可以封装load和loadfile，使你在内部无论用户提供什么模式参数，始终传递“t”作为模式参数。但使用 Lua 5.1，你需要找到一种方式来封装load等函数，以便于你可以区分数据是文本还是字节码。通过阅读 Lua 源代码，你可能可以找到 Lua 用来区分字节码和文本的代码。

或者你可以彻底禁止load及其相关函数。

如果你想要防止用户对系统进行无用的操作，那么就禁止os和io库。

2015-12-21 03:23:03

作者:

用户5701868

用户5701868
推荐文章