傳遞給create_function的PHP沙箱/清理代碼

Question

我正在使用create_function在服務器端運行一些用戶代碼。我正在尋找這兩個中的任何一個：

1. 有沒有一種方法來清理傳遞給它的代碼，以防止有害執行？
2. 或者，有沒有一種方法可以指定這個代碼在沙箱環境中運行，以便用戶不能隨便玩弄其他任何東西。

謝謝！

Answer 1

您無法可靠地清理用戶輸入 - 一個確定的黑客會發現一些晦澀的方法來規避您的清理代碼。

沙盒可能是可能的，但同樣是殘酷的。如果你真的想要安全，你應該爲每個呼叫創建一個沙箱。畢竟，有人可能會執行對沙箱中所有其他用戶有害的僞代碼。

我不認爲你真的想這樣做。這樣想：你正在提供對服務器的編程訪問！

Answer 2

您可以使用tonkenizer找出代碼將執行的操作，然後將某些功能和操作列入白名單。我認爲這將結束是非常困難的（或不可能），使之萬無一失，特別是考慮到PHP的靈活性：

$f = "shell_exec"; 
$arg = 'rm -rf /'; 

$f($arg); // ouch 
call_user_func($f, $arg); // ouch 
eval("$f('$arg');"); // ouch 

$newF = create_user_function('', "$f('$arg');"); 
$newF(); // ouch 

唯一一種沙箱的，會給你100％的安全性（當然，99.9％... ）是一個虛擬機，你可以隨後扔掉。

Answer 3

您可以考慮創建一個用戶可以使用的自定義（ized）語言。然後，您可以創建支持的函數庫，這很可能只是PHP本地函數的包裝器。但即使如此，使其防黑客或僅僅是工作，充其量也是一件乏味的工作。也許你應該重新評估爲什麼你希望用戶能夠首先訪問代碼？如果你需要某個人討論這個問題（或者更新你的問題，我猜？），我很樂意幫忙。:)

希望你能解決它！

-Dave

Answer 4

你可以嘗試使用櫟，一個基於Java的PHP解釋器，營造一個安全沙盒的PHP環境。您可以使用Rhino對JavaScript進行相同的操作，所以我認爲這可能與Quercus有關。

Answer 5

整體上壞主意和太危險的國際海事組織，不管你採取什麼保護措施。更好地創建一個僅限於用戶被允許執行的僞語言。

Answer 6

我們使用標記器靜態分析代碼，以及修改代碼以對某些事情執行運行時檢查。這是通過標記器和基於標記器的腳本完成的。由於tokenizer與PHP實際使用的是相同的，因此它可以提高你的運氣，而不是寫你自己的。

我見過使用正則表達式的人試圖分析一種語言。這是一個非常糟糕的主意。

但...

由於PHP是一個非常容易理解的語法，並且您可以訪問標記器，所以您可以通過禁用可變函數來實際阻止大部分不良情況，並且只允許調用少量列入白名單的函數。如果你不需要面向對象，甚至更好。然而，我們並沒有足夠的信心去解決100％的問題，我們使用這種方法爲支付客戶的用戶提供支持的沙盒，而不是用地球上的每個用戶使用鍵盤，也許是惡意。

我也認爲這裏的人把100％的想法作爲「糟糕的做法」公開化需要得到一個線索。有理由這樣做。

Answer 7

http://php.net/runkit

Answer 8

的是GitHub上的一類，可以幫助早期階段，但看起來很有希望。

https://github.com/fregster/PHPSandbox