"Песочница" в Windows своими руками (велосипед)?

Question

[yeputons]

Добрый вечер.

Недавно заинтересовался — каким образом на различных олимпиадах контроллируется поведение программ участников? Нет, понятно конечно, что самими участниками (в случае нарушения обычно идёт дисквалификация), но с программной точки зрения. Например: запрещение работы с сетью, файловой системой, процессами и пр. Т.е. можно только читать/выводить в stdin/stdout, выделять немного памяти и вызывать стандартные функции (libc).

В eJudge этот вопрос решён добавлением if'а во все системные вызовы (патч к ядру). Но это под Linux.

Вопрос — как пишется такого рода «песочница» под Windows? Запуск от гостя решает много проблем, и пролезть достаточно сложно. Но хочется полное решение. В какую сторону копать, что читать, есть ли документированные методы. Готовые программы есть, но хочется собрать хоть какой-то велосипед своими руками.

Answer 1

[p1ayer]

может использовать *nix? или нужна винда?

Answer 2

[eternals]

Запускать от определённого пользователя?
Плюс все решения сохраняются обычно, чтобы потом руки оторвать если всё же что-то пролезет.

Comments

[yeputons]

На олимпиадах, насколько я знаю, так обычно и делают — этому юзеру режут все права на ФС, реестр и прочее. Но тут вопрос не про то, как сделать, чтобы работало, а как написать песочницу, которая лочит по максимуму — из спортивного интереса.

Answer 3

[gjf]

Немного непонятно, зачем изобретать велосипед, если есть готовые бесплатные решения. Вам — шашечки или доехать? ;)

Comments

[Robotex]

Можно список?

[Robotex]

Они защитят от вирусни?

[gjf]

Comodo Time Machine — как первый пример. Он защитит.
Если же нужна серьёзная система с возможностью управления по сети нескольких компьютеров — задумайтесь о платной Faronics DeepFreeze.

[gjf]

Если же речь о запуске отдельного приложения в песочнице (приложение не лезет в кернелмод, т.е. не ставит свои драйвера) — можно воспользоваться Sandboxie в её бесплатном варианте.

Answer 4

[amirul]

Не надо драйверов. Practical Windows Sandboxing в трех частях. ACL-ей хватает с головой для ограничения практически всего (в том числе и виндового нетворкинга — пайпов и мейлслотов, для berkeley sockets придется использовать встроенный файрвол) — собственно для подобного контроля доступа они и были придуманы.

Хромовская песочница — довольно независимый от остального хрома проект. Так что можно вытащить и использовать в личных целях.

Comments

[yeputons]

Спасибо. Видимо, то, что надо.

Answer 5

[amc]

За олимпиады не скажу, но в Win есть один простой метод: перехват вызовов.
Если есть возможность — запустите AVZ на системе с установленным антивирусом (особенно KAV), посмотрите на список перехваченных вызовов и сделайте выводы.

Answer 6

[olololog]

Thinstall.

Answer 7

[zed91]

Если полностью-полностью, то драйвера. На каждую подсистему свой. Зато перехватите всё что только можно.

Answer 8

[agul]

Знаю, что в NSUTS (система Новосибирского ГУ) используется WinKiller. + там под каждого пользователя создается отдельный юзер с практически нулевыми правами.

Answer 9

[powder96]

Почему-то подумался извращенный вариант:

Скачать десятимегабайтный Windows Research Kernel;
Как и eJudge, добавить if'ы во все системные вызовы;
Скомпилировать ядро и заменить старый ntoskrnl/ntkrnlpa новым;
???
PROFIT!

Answer 10

[Станислав Агарков]

Поставьте виртуалку.