Lua沙盒具有泄漏的特殊功能

Question

我正在尝试使用 如何创建安全的 Lua 沙箱？ 构建我自己的泄漏沙箱。

我正在尝试创建一个Lua沙箱，其中一些Lua函数可以访问沙箱之外的其他一些Lua函数。例如，我希望我的沙箱有一个特殊的“显示”功能，它可以调用“打印”，但沙箱中也没有“打印”。

主要问题是我试图在已经很大的代码库中构建一个沙箱，所以我不能删除函数。

这怎么可能？

解决方案必须是纯 Lua 函数，这不是我的错。

Answer 1

创建沙箱时，您可以通过从更大的环境中挑选函数和值来创建新的沙箱环境。您不需要破坏或“消除”原始环境中的任何内容。

1. 通过挑选函数和值创建沙箱环境
2. 加载脚本（这会编译它并将其作为要调用的函数返回）
3. 将脚本的环境设置为沙箱环境
4. 在沙箱中执行脚本

因此，

local script = loadstring "display(math.log(2, 3))"
local env = {display = print, math = math, string = string}
setfenv(script, env)
pcall(script)

打印

0.69314718055995

而

local script = loadstring "print(math.log(2, 3))"
local env = {display = print, math = math, string = string}
setfenv(script, env)
pcall(script)

失败

false   [string "print(math.log(2, 3))"]:1: attempt to call global 'print' (a nil value)

Answer 2

是不是特别需要调用Lua标准库的print函数？您可以模拟 print 的功能吗？因为那将是最简单的方法。

但是，如果您想要对 print 进行包装，有两种方法可以实现：使用纯 Lua 代码和使用 C/C++ 代码。

纯Lua解决方案如下。请注意，这应该在加载任何外部脚本之前完成。首先，打开包含print的Lua标准库。然后运行这个 Lua 脚本：

local internal_print = print

return function(...)
    --Do display logic.
    internal_print(...) --Or whatever else you want.
end

这将返回“display”函数。如果您愿意，您可以将其存储在名为 display 的全局变量中，或者称为其他名称。

之后，您可以nil输出print全局变量，从而使其几乎完全无法访问。

如果您想从 C/C++ 执行此操作，则非常相似。首先，像以前一样，您注册包含 print 的 Lua 标准库，以便您可以获得它的函数。然后，使用 lua_getglobal(L, "print") 来获取 print 函数并将其压入堆栈。接下来，使用 lua_pushcclosure 注册 C/C++ 函数。但是你想指定一个上值，Lua 在注册时从堆栈中弹出该值。

现在，您注册的函数位于堆栈上，等待被推入 Lua 变量或全局表条目中。

警告：Lua 调试库可以查看上值，从而从新函数中获取 print 函数。因此，如果您想要完美的安全性，请摆脱 debug.getupvalue。

Answer 3

构建您的沙箱（或多个沙箱，如果每个沙箱都有不同的要求）并将不受信任的代码一次移入沙箱中一部分。在我的快速 cli 测试中，5.1 和 5.2 都将运行在沙箱外部定义的函数，无需修改。要使用 Doug 的示例，假设 display 是使用 print 的现有代码的一部分：

-- 5.1
local function display(...)
  print(...)
end
local script = loadstring "display(math.log(2, 3))"
local env = {display = display, math = math, string = string}
setfenv(script, env)
print(pcall(script))

-- 5.2
local function display(...)
  print(...)
end
local script = loadstring "display(math.log(2, 3))"
local e=_ENV
_ENV={display = display, math = math, string = string}
e.print(e.pcall(script))
_ENV=e

请注意，在上述两个示例中，display > 函数正在使用 print 而不修改该代码，因为创建此函数时您不在沙箱中。

过去，我存储了一个指向非沙盒环境的本地指针，但我无法重现快速 cli 测试中需要的情况。如果您能举出一个示例，我可能会想出一种不需要 e 变量的解决方法。下面是使用 5.2 的代码示例：

local e=_ENV

for k,v in e.pairs(value) do
-- iterate
end

另一个示例，对于我的只读表代码，我再次使用 e：

function ro_table (t)
  local t = t
  if t then
    return e.setmetatable({}, 
      { __index=t, 
        __newindex= function(_,_,_) e.error ("Attempt to modify read-only table") end, 
      })
  else
    return nil
  end
end