सैंडबॉक्स में तृतीय-पक्ष कोड चलाएँ

जैसा कि विकिपीडिया लेख बताता है, सैंडबॉक्स कार्यक्रमों के सुरक्षित निष्पादन के लिए एक तंत्र है। सैंडबॉक्स का उपयोग अक्सर अनजाने कोड को चलाने के लिए किया जाता है, अज्ञात स्रोतों से अनुपयोगी कोड, और वायरस को चलाने और पता लगाने के लिए भी।

कल्पना करें कि हमारे पास एक कार्य है: कुछ प्रकार की परियोजना है और उपयोगकर्ता इसके लिए अपनी स्क्रिप्ट लिख सकते हैं (विजेट्स, ऐड-ऑन, प्लगइन्स)। हम चाहते हैं कि कस्टम स्क्रिप्ट कुछ भी गलत न करें (कुकीज़ चोरी करना कम से कम वे कर सकते हैं)।

लेख उन हमलों पर चर्चा करेगा जो साइबर अपराधी तीसरे पक्ष के कोड को सुरक्षित रूप से निष्पादित करने के लिए प्रदर्शन और तरीके कर सकते हैं।

आइए उन हमलों के प्रकारों से शुरू करें जिन्हें हमें रोकना चाहिए।

हमलों के प्रकार

इसके बाद उदाहरणों (मूल लेख के लिंक) के साथ "हमला वैक्टर" का एक पूरा गुच्छा आता है, यदि आप अपने क्षितिज को व्यापक बनाने में रुचि नहीं रखते हैं, तो पोस्ट के अंत तक स्क्रॉल करें। हमले क्रॉस-ब्राउज़र नहीं हैं।

GlobalObjectPoisoning - वैश्विक वस्तुओं का जहर

Array.prototype[4] = 'four'; var a1 = []; alert('a1 has length ' + a1.length + ' but element 4 is ' + a1[4]); var a2 = new Array(5); alert('a2 has length ' + a2.length + ' and its element 4 is also ' + a2[4]); 

EvalArbiteathCodeExecution - eval और फ़ंक्शन कंस्ट्रक्टर तृतीय-पक्ष कोड निष्पादित कर सकता है

 eval('alert("your cookie is " + document.cookie)'); (new Function('alert("your cookie is " + document.cookie)'))(); 

ArgumentsMaskedByVar - ओपेरा में var तर्क के रूप में प्रच्छन्न फ़ंक्शन तर्कों की सरणी

 (function (a, b, c) { var arguments = [1, 1, 1]; alert('arguments[0] === ' + arguments[0] + ', a=' + a); arguments[0] = 2; alert('arguments[0] === ' + arguments[0] + ', a=' + a); })(0, 0, 0); 

CrossScopeParameterModification - तर्क सरणी आपको अपने मापदंडों को बदलने की अनुमति देता है

 (function (a) { arguments[0] = 1; alert('a=' + a); })(0);> 

तर्कविषयक प्रस्तावक - कॉल करने वाले का उपयोग करके किसी बाहरी कार्य के तर्कों को खींचना संभव है

 function untrusted() { alert('got function ' + untrusted.caller + ' : ' + arguments.callee.caller.arguments[0]); } (function trusted() { untrusted(); })(4); 

FunctionMemberCrossScopeParameterAccess - आंतरिक फ़ंक्शन से बाहरी फ़ंक्शन के तर्कों को बदलना संभव है

 function f(a) { g(); alert(a); } function g() { f.arguments[0] = 1; } f(0) 

TypeofInconsistent - webkits में नियमित अभिव्यक्ति के साथ टाइपो बग

 'function' === (typeof /./) 'function' === (typeof alert) 

दुर्गम LocalVariables - पकड़ का उपयोग करते समय स्थानीय चर उपलब्ध नहीं हो सकते हैं (localVarName)

 (function () { var arguments; alert('arguments === undefined: ' + (arguments === undefined)); })(); (function () { var e; try { throw 1; } catch (e) { } alert('arguments === undefined: ' + (arguments === undefined)); })(); (function () { var e = 1; try { throw 2; } catch (e) { } alert('e === 1 : ' + e); })(); 

कैच का उपयोग करके वैश्विक चर को बदलना संभव है

 var a = 0; (function () { try { throw 1; } catch (a) { } })(); alert(a); // alerts 1 on old FF (function () { var a = 0; try { throw 1; } catch (a) { } alert(a); // alerts 1 on IE 6 and 7 (IE 8 not tested) })(); 

GlobalScopeViaThis - फ़ंक्शन में इसका उपयोग करके वैश्विक गुंजाइश तक पहुंचना संभव है

 (function () { alert('your cookie is ' + this.document.cookie); })(); setTimeout( function () { alert('your cookie is ' + this.document.cookie); }, 0) 

DeleteUnmasksGlobals - छिपे हुए वैश्विक वैरिएबल को डिलीट का उपयोग करके खोला जा सकता है

  with ({ document: null }) { delete document; alert('your cookie is ' + document.cookie); } 

फंक्शनकंस्ट्रक्टर - फंक्शन कंस्ट्रक्टर 'कंस्ट्रक्टर' संपत्ति के माध्यम से सुलभ है

 ((function () {}).constructor)( 'alert("document.cookie = " + document.cookie)')() 

ObjectEvalArbiteathCodeExecution - Object.eval आपको Firefox में किसी भी कोड को निष्पादित करने की अनुमति देता है।

 ({}).eval('alert("Your cookie is " + document.cookie)') 

ObjectWatch - Object.watch आपको किसी भी बाहरी डेटा को जहर और प्राप्त करने की अनुमति देता है

 function untrusted(o) { o.watch( 'private_', function (obj, oldval, newval) { alert('untrusted got oldval ' + oldval + ' and newval ' + newval); return 'poisoned'; // substitute a bogus value }); } // Trusted code var o = { private_: 'old' }; untrusted(o); o.private_ = 'new'; alert('private is now ' + o.private_); 

ObjectToSourceLeaksPrivates - Object.toSource और uneval आपको निजी संपत्तियों तक पहुंचने की अनुमति देते हैं

 // Untrusted code function untrusted(o) { // untrusted need not attempt to access private_ directly var privateValue = o.toSource().match(/private_:\s*(\d+)/)[1] * 1; alert('private value is ' + privateValue); } var o = { private_: 4 } untrusted(o); 

FunctionMethodsLeakGlobalScope - Function.call या Function.apply इस मान का उपयोग करके कोई वैश्विक ऑब्जेक्ट खोल सकता है।

 (function () { alert(this === window); }).call(null); (function () { alert(this === window); }).call(undefined); alert(window === ([]).sort.call()); alert(window === ([]).reverse.call()); // Firefox2 only. [https://bugzilla.mozilla.org/show_bug.cgi?id=406337] var o = { valueOf: function () { return null } }; (function () { alert(this === window); }).call(o); 

ConditionalCompilationComments - सशर्त संकलन एक हमलावर को कोड छिपाने की अनुमति देता है।

 /*@cc_on @*/ /*@if (1) alert(document.cookie) @end @*/ 

StringObfuscationIsEasy - स्ट्रिंग का उल्लंघन

 (function () { var s = 'cons'; s += 'tructor'; (new ((function () {})[s])('alert("hello")'))(); })(); 

ParentCircumventsScoping - __parent__ का उपयोग करके किसी भी दायरे से चर का उपयोग करना संभव है

 (function () { var alert = null; // boilerplate that masks global alert (function () { // untrusted code that can't access alert directly ({}).__parent__.alert('hello'); })(); })(); 

JsControlFormatChars - RTL या [: Cf:] उलटा चरित्र का उपयोग टिप्पणियों में कोड छिपाने के लिए किया जा सकता है।

 <html> <body onload=" /&#x200D;/.test(''); /* alert('hi'); // */ "> </body> </html> 

असंगत रूप से। अपवादित शब्द- संदर्भ - असंवेदनशील शब्द: कॉन्स्ट कंस्ट्रक्टर प्रोटोटाइप

 this['const'] = 0; const alert = f(); // looks like an assignment to self. function f() { return alert; } // looks like a reference to an undefined local. alert('hello world'); 

ErrorExposeParameterValues - त्रुटि स्टैक ट्रेस का उपयोग करके, आप बाहरी फ़ंक्शन को दिए गए मापदंडों तक पहुंच सकते हैं

 function skroob(luggageCombination) { darkHelmet(); } function darkHelmet() { var combo = Number((new Error).stack.match(/skroob\((\d+)\)/)[1]); alert('Only an idiot would use that combination!: ' + combo); } skroob(1234); 

RegexpsLeakMatchGlo Worldwide - रेगुलर अंतिम रेगुलर एक्सप्रेशन पर भेजे गए अंतिम लाइन पर निष्पादित कर सकता है

 // Privileged code (function () { var queryString = document.location.search; // Assume it's "?password=1234" function params() { return queryString.split(/[&?]/g); } if (params()[0] === 'debug=on') { // ... } })(); // Unprivileged code without direct access to document.location (function () { alert(/.*/.exec()); })(); 

EvalBreaksClosureEncapsulation - कॉलिंग evel ff के पुराने संस्करणों में गुंजाइश एनकैप्सुलेशन को तोड़ सकता है

 function counter(i) { return function () { return ++i; }; } var myCounter = counter(0); alert(myCounter()); // => 1 eval('i = 4', myCounter); alert(myCounter()); // => 5 on Firefox 2, 2 on other browsers 

PostIncrementAndDecrementCanReturnNonNumber - पोस्ट - वेतन वृद्धि और पोस्ट- डिक्रीमेंट नंबर नहीं दे सकता है - फ़ंक्शन कंस्ट्रक्टर प्राप्त करने का एक तरीका

  (function() { var c = 'constructor'; var F = (function(){})[c++]; // Function constructor F('alert("toast")')(); })(); 

HTML, css code.google.com/p/google-caja/wiki/AttackVectors से हमलों का एक पूरा गुच्छा

इन सभी हमलों को देखते हुए, हमें कुछ एपीआई प्रदान करने होंगे ताकि प्लगइन स्वायत्त रूप से काम न करे।

सुविधाएँ जो हमें प्लगइन को प्रदान करनी चाहिए

1. कुछ उपयोगकर्ता डेटा तक पहुंच प्राप्त करना।
2. उपयोगकर्ता की ओर से कुछ कार्य करना।

एक हमलावर से खुद को अलग कैसे करें और एक अच्छे डेवलपर को सभी संभावनाएं दें!

1. संयम

हम मध्यस्थों की एक टीम रख सकते हैं जो कोड में अच्छी तरह से वाकिफ हैं, साथ ही हम उपयोगकर्ताओं से बग रिपोर्ट स्वीकार करते हैं।
नुकसान: बेहद महंगा, और बेहद अक्षम। अच्छे मध्यस्थों को बहुत अधिक भुगतान करना पड़ता है, लेकिन किसी भी मॉडरेटर और मानव कारक की तुलना में हमेशा अधिक कुशल हो सकता है। उपयोगकर्ताओं को एक त्रुटि नहीं मिल सकती है, प्लगइन उपयोगकर्ता द्वारा अपने गंदे काम पर ध्यान नहीं दे सकता है।
प्लसस: नहीं

2. iFrame में सैंडबॉक्स

इस विकल्प का उपयोग jsfiddle में किया जाता है
1. हम उपयोगकर्ता स्क्रिप्ट को बाएं डोमेन पर ले जाते हैं
2. चेतावनी त्वरित पुष्टि को निष्पादित करने के लिए मना करें
3. उपयोगकर्ता को अपने फ्रेम में कुछ भी करने का अधिकार है
4. हम डाक के माध्यम से एपीआई प्रदान करते हैं (अतुल्यकालिक)
नुकसान: यदि वे एक सामान्य डोमेन हैं, तो प्लगइन्स अन्य प्लगइन्स पर हमला कर सकते हैं। अतुल्यकालिक विनिमय। सतर्क संकेत पुष्टिकरण के अलावा अन्य कार्य भी हो सकते हैं, जो उपयोगकर्ता के साथ हस्तक्षेप कर सकते हैं। सभी ब्राउज़र पोस्टमैसेज का समर्थन नहीं करते हैं
लाभ: सैंडबॉक्सिंग का सरल कार्यान्वयन
अधिक जानकारी: dean.edwards.name/weblog/2006/11/sandbox

3. वेबवर्क में सैंडबॉक्स

श्रमिक एक महान सैंडबॉक्स हैं, वे पहले से ही ब्राउज़र वातावरण द्वारा सीमित हैं।
1. हम पोस्टमैसेज (असिंक्रोनसली) का उपयोग करके एपीआई प्रदान करते हैं
2. हमें इंटरफ़ेस तत्वों का एक पुस्तकालय बनाना होगा
3. तत्व एसिंक्रोनस रूप से घटनाओं का जवाब देंगे
नुकसान: प्लगइन डेवलपर इंटरफ़ेस घटकों तक सीमित है। अतुल्यकालिक विनिमय और घटनाओं। सभी ब्राउज़र WebWorkers का समर्थन नहीं करते हैं।
लाभ: सैंडबॉक्सिंग का सरल कार्यान्वयन
उदाहरण: github.com/eligrey/jsandbox

4. स्थैतिक विश्लेषण और कोड में कोड अनुवाद

हम स्रोत कोड का विश्लेषण करते हैं, संभावित खतरनाक लिंक को सुरक्षित (सीएसएस जावास्क्रिप्ट एचटीएमएल) के साथ प्रतिस्थापित करते हैं, या संभावित खतरनाक लोगों को छोड़ते नहीं हैं।
नुकसान: कोई आउटपुट नहीं, हमें कोई स्रोत कोड नहीं मिलता है
प्लसस: हर जगह काम करता है

4.1। डगलस क्रॉकफोर्ड के अड्सफे

ADsafe जावास्क्रिप्ट के एक सबसेट को परिभाषित करता है जो अतिथि कोड को महत्वपूर्ण कार्यों को करने की अनुमति देने के लिए पर्याप्त शक्तिशाली है, जबकि यह स्क्रिप्ट्स को स्रोत कोड को दूषित या आक्रमण करने से रोकता है।
ADSafe जावास्क्रिप्ट से ऐसे फीचर्स को हटाता है जो या तो सुरक्षित नहीं होते हैं या जो ब्राउज़र घटकों को अनियंत्रित पहुंच प्रदान करते हैं। उनकी सूची में शामिल हैं: वैश्विक चर, यह, तर्क, साथ, तर्क, केली, कॉलर, निर्माता, eval, प्रोटोटाइप, स्टैक, अनचेक, valueOf, घड़ी, नाम समाप्त होने या _, ऑपरेटर [], दिनांक और गणित के साथ शुरू होने वाले .random
सीमाएं: कोड को चलाने से पहले, आपको JSLint को संसाधित करना होगा, कोड UTF-8 में होना चाहिए, html आईडी अद्वितीय होनी चाहिए
नुकसान: अत्यधिक डेवलपर प्रतिबंध
प्लसस: हर जगह काम करता है
अधिक विवरण यहां देखे जा सकते हैं: www.adsafe.org
आप यहां adsafe से खेल सकते हैं: www.jslint.com (ADsafe ध्वज को सक्षम करें)

4.2। गूगल काजा

ADsafe के विपरीत, Google काजा अनुवाद करता है ("काजोलर" संकलक का उपयोग करके) JavaScript, HTML, CSS कोड को सुरक्षित (काजोल किया गया) JavaScript, HTML, CSS कोड। ajoler संभावित खतरनाक क्षणों की पहचान करने के लिए एक स्थैतिक विश्लेषण करता है, जहां स्थैतिक विश्लेषण असंभव है, गतिशील रूप से - प्रक्रिया में। इसके अलावा, काजोलर आभासी iframes का उपयोग करके डोम विखंडू का वर्चुअलाइजेशन करता है। काजा यहां वर्णित सभी प्रकार के हमलों से बचाता है ।
नुकसान: हमें एक संशोधित कोड मिलता है
लाभ: हर जगह काम करता है, डेवलपर पर अनावश्यक प्रतिबंध नहीं लगाता है
कोड अनुवाद उदाहरण

को

 <script> alert(document.cookie); top.location = "http://www.thinkfu.com/evil.gif"; </script> 

के बाद

 <script> { ___.loadModule({ 'instantiate': function (___, IMPORTS___) { return ___.prepareModule({ 'instantiate': function (___, IMPORTS___) { var dis___ = IMPORTS___; var moduleResult___, x0___, x1___; moduleResult___ = ___.NO_RESULT; try { { (IMPORTS___.alert_v___ ? IMPORTS___.alert : ___.ri(IMPORTS___, 'alert')).i___((x0___ = IMPORTS___.document_v___ ? IMPORTS___.document : ___.ri(IMPORTS___, 'document'), x0___.cookie_v___ ? x0___.cookie : x0___.v___('cookie'))); moduleResult___ = (x1___ = IMPORTS___.top_v___ ? IMPORTS___.top : ___.ri(IMPORTS___, 'top'), x1___.location_w___ === x1___ ? (x1___.location = 'http://www.thinkfu.com/evil.gif') : x1___.w___('location', 'http://www.thinkfu.com/evil.gif')); } } catch (ex___) { ___.getNewModuleHandler().handleUncaughtException(ex___, IMPORTS___.onerror_v___ ? IMPORTS___.onerror : ___.ri(IMPORTS___, 'onerror'), 'unknown', '2'); } return moduleResult___; }, 'cajolerName': 'com.google.caja', 'cajolerVersion': '4427', 'cajoledDate': 1302010087717 }).instantiate___(___, IMPORTS___), ___.prepareModule({ 'instantiate': function (___, IMPORTS___) { var dis___ = IMPORTS___; var moduleResult___; moduleResult___ = ___.NO_RESULT; { IMPORTS___.htmlEmitter___.signalLoaded(); } return moduleResult___; }, 'cajolerName': 'com.google.caja', 'cajolerVersion': '4427', 'cajoledDate': 1302010087733 }).instantiate___(___, IMPORTS___); }, 'cajolerName': 'com.google.caja', 'cajolerVersion': '4427', 'cajoledDate': 1302010087748 }); } </script> 

स्क्रिप्ट अलर्ट "अविशिष्ट गैजेट कहता है: अपरिभाषित" और पुनर्निर्देशित नहीं करता है
जैसा कि आप देख सकते हैं, स्रोत कोड प्राप्त होने से बहुत दूर है, लेकिन अंतिम उपयोगकर्ता दुर्भावनापूर्ण हमलों से सुरक्षित है

प्रोजेक्ट पृष्ठ: code.google.com/p/google-caja
आप Google Caja को यहां ट्विस्ट कर सकते हैं : caja.appspot.com

मैं सुनना चाहता हूं कि आप सैंडबॉक्सिंग के किन तरीकों का उपयोग करते हैं, क्या आपके पास कार्यान्वयन के कोई उदाहरण हैं?

आलोचना, सवाल और सुझाव का स्वागत है!

PS मैं काटा को तोड़ने के लिए माफी माँगता हूँ - पार्सर ओवरलेप्ट