Я работаю над изолированной программой PHP для веб-приложения Honeypot. Песочница PHP будет анализировать PHP-файл, который, возможно, был введен как часть атаки RFI. Он должен запускать файл в безопасной среде и возвращать результат, встраивая вывод PHP-скрипта. Мы надеемся обмануть атакующего, полагая, что это настоящий ответ и, таким образом, продолжить следующий шаг его атаки.Проблемы с безопасностью с помощью PHP Sandbox
Для создания песочницы мы использовали Advance PHP Debugger (ADP). Используя rename_function и override_function, уязвимые функции PHP были переписаны. Некоторые функции, такие как exec, disk_free_space были переписаны, чтобы отправлять фальшивые ответы. Все остальные функции просто ничего не возвращают. Here's - полный список функций, которые были рассмотрены.
Кроме того, входной скрипт запускается в песочнице не более 10 секунд. После этого весь процесс песочницы будет убит.
Этот список достаточно хорош? Означает ли это, что песочница достаточно безопасна, чтобы стать частью веб-приложения?
Помимо таких функций блокировки, как это, существуют ли меры безопасности, которые необходимо предпринять?
В конце концов, это honeypot. Поэтому мы хотели бы, чтобы наш ответ был как можно ближе к реальному ответу. Таким образом, блокируя вызовы функций DNS, такие как
dns_check_recordиgethostbyname, мы ограничиваем объем выполнения сценария излишне. (Я не уверен, почему они присутствуют на первом месте)Короче говоря, я хотел бы знать, какие элементы я должен добавить/удалить из списка.
Любые другие предложения/рекомендации относительно того, как это сделать, будут высоко оценены.
Как вы можете знать вывод кода без его запуска? Я предполагаю, что вы могли бы сделать очень сложный анализ кода, чтобы собрать вывод окольным путем, но кроме этого? И я знаю, что это не очень полезно, но мое предложение состоит в том, что вы просто этого не делаете. Если что-то случайно скользит через ваш honeypot, тогда упс! Компромиссный сервер. И это не весело. – Corbin
Я не уверен, зачем это нужно? Разве вы не можете просто предотвратить атаку RFI в первую очередь? Или это потенциально уже произошло, и вы пытаетесь проверить, что ни один из кода на вашем сервере (серверах) не был скомпрометирован? – rdlowrey
Звучит как аккуратный, но очень рискованный проект.Я думаю, что единственным способом обеспечить идеальную песочницу в этом случае было бы наличие фактического медового горшка на другом сервере (возможно, чтобы разрешить быстрое перезагрузку), и чтобы фактический сервер передал полный скрипт php на второй сервер. Таким образом, если вы забудете что-то серьезное, это будет скомпрометировано. – MitMaro