如何保护我加载的插件？

Question

假设我的一段代码扫描目录./plugins 并加载.dlls/.sos 和一个已知符号（此处为“函数”）以扩展其功能，如下所示：

main.c

#include <stdlib.h>
#include <dirent.h>
#include <string.h>
#include <stdio.h>
#include <dlfcn.h>

int
main(void)
{
    DIR *dir;
    struct dirent *entry;
    dir = opendir("./plugins");
    if (dir == NULL)
        return -1;
    while ((entry = readdir(dir)) != NULL)
    {
        void *handle;
        char path[PATH_MAX];
        int (*function)(char *);
        if (strstr(entry->d_name, ".so") == NULL)
            continue;
        if (snprintf(path, sizeof(path), "./%s", entry->d_name) >= sizeof(path))
            continue;
        handle = dlopen(path, RTLD_LAZY);
        if (handle == NULL)
            continue; // Better: report the error with `dlerror()'
        function = (int (*)(char *)) dlsym(handle, "function");
        if (function != NULL)
            fprintf(stdout, "function: %d\n", function("example"));
        else
            fprintf(stderr, "symbol-not-found: %s\n", entry->d_name);
        dlclose(handle);
    }
    closedir(dir);
    return 0;
}

这可能会导致一个重大的安全问题：如果我的应用程序以 root 身份运行，或者具有管理员权限，这意味着任何非特权攻击者都可以通过生成包含名为已知符号的函数的共享对象以特权用户身份执行代码 (在这里，function)。

如何保护我的plugins 文件夹？如何检查我加载的共享对象是否安全？

这是this question的后续。

Answer 1

在这种情况下，您唯一能做的就是只允许特权用户在插件目录中写入文件。

当你在一个你已经丢失的未知文件上调用dlopen 的那一刻。请注意，您甚至不需要从中调用函数，只需调用dlopen 就足够了，因为共享对象可以具有无论您是否需要都会自动运行的构造函数。

您无法检查共享对象是否安全。这样做就相当于解决了停机问题。

Answer 2

我相信在一般情况下您无法保护您的插件。恶意用户可以在其插件中做任意事情（包括在运行时发出一些 C 代码，然后分叉编译它和dlopen-ing、JIT 在内存中编译机器代码等...） .请记住，dlopen-ed（或mmap-ed）插件正在共享运行其加载程序的process 的virtual address space。

^{我的GCC 编译器的MELT [meta-] 插件正是这样做的：在运行时生成C 或C++ 代码，即时编译它，dlopen-ing 它。但它不是恶意的。}

注意（如answered by Art），dlopen(3) 正在运行任意初始化插件代码（在您执行任何dlsym 以从其"function" 名称中检索函数）。阅读__attribute__((constructor)) in GCC。

如果您非常雄心勃勃（工作多年，值得获得博士学位......）您可能会生成插件的代码，同时对其进行一些代码证明或声音 static analysis。

^{（由于你和我一样靠近法国巴黎，请查看 Xavier Leroy -INRIA- 例如CompCert、Emmanuel Chailloux -LIP6-、Julia Lavall 和 Coccinelle -LIP6- 的作品；另请阅读关于Frama-C & GCC MELT；但请理解有no silver bullet....；您可以给我发一封电子邮件，提及您的问题的网址）}

另请阅读halting problem、Rice's theorem、trusted computing base 和proof-carrying code。 您的请求是 undecidable 或至少是 intractable。

你可以考虑一些双重方法：有一个受信任的程序来“签名”或“标记”好的插件（所以系统管理员负责告诉这样和这样的插件是好的），并且只有dlopen 一个插件，当它以某种方式被“认证”或简单地“人工批准”时。也许就像在受信任的插件名称和它们的 md5 签名之间保持一个（受信任和安全的）数据库或文本关联一样简单，然后计算校验和，然后在 dlopen 之前检查它......

^{编程时一个很好的启发式方法是经常问自己：我是否正在尝试解决停机问题？ J.Pitrat's blog 有有趣的见解....}