在沙箱环境中运行程序时如何禁止系统调用？
我正在查看 codepad.org，一段 while(1) fork 给出了以下输出。
不允许的系统调用：SYS_fork
检查此链接以获取确切的详细信息。 http://codepad.org/rNR9mMVv
谷歌搜索更多，我知道他们还使用套接字禁用系统调用。
不允许的系统调用：SYS_socketcall
谁能告诉我如何在沙盒环境中运行程序之前禁用某些系统调用？
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（4）
通过用具有空存根或异常抛出器而不是真实函数的模拟替换运行时库？
By replacing runtime libraries with mocks that have empty stubs or exception throwers instead of real functions?
如果您愿意付出性能损失，可以使用 ptrace() 来实现此目的。我现在似乎找不到另一种方法。
If you're willing to pay the performance penalty, ptrace() can be used for this. There's another way I cannot seem to find right now.
系统调用通过操作系统将函数注入到进程中来工作。但是，如果您为自己喜欢的可执行格式编写了自定义加载程序，则可以将其链接到您自己的加载程序。如果格式允许，您还可以对可执行文件进行二进制更改，以从您提供的单独动态库中提取这些函数。
System calls work by injecting the function into the process by the operating system. If, however, you wrote a custom loader for your favourite executable format, you would have the power to link it against your own. You could also binary alter the executable, if the format allows for it, to pull those functions from a separate dynamic library, provided by you.
我知道这是一个老问题，但我正在研究同样的东西，所以这是我的建议 - 使用 SELinux。 Gentoo 项目，有一些关于 SELinux 的好东西。查看 SELinux 策略类型< /a> (4.b)，特别是有针对性的政策。我不确定 codepad.org，但类似的 ideone.com 使用 Gentoo，所以也许 SELinux 应该是最简单的方法。
I know this is an old question, but I was researching the same stuff, so here is my suggestion - use SELinux. The Gentoo project, has some nice stuff about SELinux. Have a look at the SELinux Policy Types (4.b), and the targeted policy in particular. I'm not sure about codepad.org, but the similar ideone.com uses Gentoo, so perhaps SELinux should be the easiest way to go.