我开发了一个 Linux 应用程序，它运行从用户(参赛者)那里收到的不受信任的代码。更具体地说，该应用程序是一个 online judge ，类似于 UVa OJ , SPOJ和 Codeforces , 但主要是 BOCA Online Contest Administrator .我的 OJ 支持 C、C++、Java 和 Python。
目前，我的 OJ 非常不安全，因为在运行不受信任的代码时没有沙箱。所以我正在寻找最好的方法来做到这一点。该解决方案的主要要求是:用户(设置比赛的人，而不是参赛者)必须尽可能少地设置我的应用程序。我认为 git clone repo , make , sudo make install ,
pjudge install <contest_dir> , cd <contest_dir> , 改变一些 .txt文件，将 secret 测试用例放入problems/和 pjudge start <port>已经太多了。
首先，考虑使用 chroot(2) 的解决方案，我宁愿让我的软件不安全也不愿强制用户设置根目录。/chroot(8) .对于作为开发人员和用户的我来说，这个解决方案比我愿意为这个个人项目所承受的痛苦还要痛苦。
我也考虑过 ptrace(2) 的解决方案, 如果它进行了禁止的系统调用，则终止该进程。我尝试了一些简单的代码来查看它是否有效，但对于某些系统调用它似乎无法正常工作。另外，我想我必须过滤很多系统调用……而且我不知道 JVM/Python 运行时需要什么系统调用……我不确定这个解决方案是否可行。如果有人知道如何正确使用此解决方案，请帮助我!
而且我还找到了seccomp(2) .这使得进程只能调用 read(2) , write(2) , _exit(2)和 sigreturn(2) .这个解决方案看起来很棒。在我的应用程序中实现它很容易，它应该完全按照我的需要工作……但仅适用于 C 和 C++。 Java和Python又是一个问题。考虑到我使用 fork(2)，我不知道这个解决方案如何适用于后两种语言+ exec(2)/system(3)在我的源代码中(顺便说一句，它是用 C++ 编写的)。
任何帮助将不胜感激。也许一些正确/有效的使用方式 ptrace(2)/seccomp(2) ，或我缺少的其他一些解决方案。但是，拜托，满足我唯一要求的东西!用户设置我的应用程序应该非常容易、简单和快速。
提前致谢!
最佳答案
开发自己的沙箱机制很困难，会导致不明显的安全漏洞。还有你的definitely should not use chroot和 ptrace 作为安全工具。
改用成熟的工具。我建议从 bubblewrap 开始- 因为它非常易于使用、轻量级并且不需要 root 权限。它将使用 Linux namespaces(7) 来安全地将提交与根文件系统、网络和进程列表隔离。
接下来您应该关心的是资源限制。这可以通过 Linux cgroups(7) 功能来完成。尝试设置了 systemd.resource-control(5) 属性的 systemd-nspawn 工具。它需要 root 权限才能运行，所以要小心。
最后使用平台相关( native 、python、java)seccomp-bpf 过滤器强化系统调用调用。
关于linux - 在线评委沙盒，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/36191589/
Linux操作系统——网络配置与SSH远程安装完VMware与系统后，需要进行网络配置。第一个目标为进行SSH连接，可以从本机到VMware进行文件传送，首先需要进行网络配置。1.下载远程软件首先需要先下载安装一款远程软件：FinalShell或者xhell7FinalShellxhell7FinalShell下载：Windows下载http://www.hostbuf.com/downloads/finalshell_install.exemacOS下载http://www.hostbuf.com/downloads/finalshell_install.pkg2.配置CentOS网络安装好
文章目录一基础定义二创建逻辑卷2-1准备物理设备2-2创建物理卷2-3创建卷组2-4创建逻辑卷2-5创建文件系统并挂载文件三扩展卷组和缩减卷组3-1准备物理设备3-2创建物理卷3-3扩展卷组3-4查看卷组的详细信息以验证3-5缩减卷组四扩展逻辑卷4-1检查卷组是否有可用的空间4-2扩展逻辑卷4-3扩展文件系统五删除逻辑卷5-1备份数据5-2卸载文件系统5-3删除逻辑卷5-4删除卷组5-5删除物理卷六LVM逻辑卷缩容6-1缩容注意事项6-2标准缩容步骤一基础定义LVM，LogicalVolumeManger，逻辑卷管理，Linux磁盘分区管理的一种机制，建立在硬盘和分区上的一个逻辑层，提高磁盘分
如何在Ruby中获取linux系统(这必须适用于Fedora、Ubuntu等)的软件/硬件信息？ 最佳答案 Chef背后的优秀人才，拥有一颗名为Ohai的优秀gemhttps://github.com/opscode/ohai以散列形式返回系统信息，例如操作系统、内核、规范、fqdn、磁盘、空间、内存、用户、接口(interface)、sshkey等。它非常完整，非常好。它还会安装命令行二进制文件(也称为ohai)。 关于ruby-如何在Ruby中获取linux系统信息，我们在Stack
我在LinuxMint17.2上。我最近使用apt-getpurgeruby删除了ruby。然后我安装了rbenv然后rbenvinstall2.3.0所以现在，~/.rbenv/versions/2.3.0/bin/ruby存在。但是现在，我无法执行geminstallrubocop。我明白了:$geminstallrubocoprbenv:gem:commandnotfoundThe`gem'commandexistsintheseRubyversions:2.3.0但是我可以~/.rbenv/versions/2.3.0/bin/geminstallrubocop。但是，
我是Ruby和RoR的新手。我有一个带有Ubuntu镜像的干净Linode实例，我想从源代码编译Ruby而不是使用apt-get。我已经在谷歌上搜索了执行此操作的说明，但经过一些尝试后，当我尝试运行一些教程示例时，我不断收到有关缺少zlib和其他一些包的错误。任何人都可以给我详细的说明(或链接)，教我如何在从源代码编译Ruby之前安装必要的必备包吗？我的目的是编译Ruby的最新稳定版本，然后安装Rubygems和Rails。提前感谢您的帮助!!! 最佳答案 Thisblogpost涵盖从源代码编译ruby所需的包和安装过程；它引
一、离线方式1.1.下载ip2region.xdbGitHub项目地址：https://github.com/lionsoul2014/ip2region我们首先需要下载一个ip2region.xdb的文件下载地址：https://github.com/lionsoul2014/ip2region/blob/master/data/ip2region.xdb打开后点击如图的Download图标即可下载。下载完成后，需要将该文件放到我们的项目中。ps：我是直接放到服务器的，因为放在项目的资源文件夹下，当我们调试的时候使用JavaSpring自带的工具去获取该文件的绝对路径时，没有任何问题，能够正
目录POSIXAPI大集合五元组三次握手的过程,内核协议栈分析listen函数DDOS攻击,洪水攻击DDOS攻击的应对措施数据发送 怎么保证顺序？如何保证包地顺序到达(序号+确认应答机制+重传)TCP断开连接的过程问题1.大量的CLOSE_WAIT+FIN_WAIT2是为啥?time_wait状态存在的原因？POSIXAPI大集合五元组(sip,sport,dip,dport,protocol)三次握手的过程,内核协议栈分析内核协议栈中是有内核数据结构的. 我们send/write数据,都是先发送到内核协议栈中，然后由内核协议栈封装发送到物理介质中传输到对端的对端的接收过程也是经有内核协议栈
背景:Linuxexport命令用于设置或显示环境变量。在shell中执行程序时，shell会提供一组环境变量。export可新增，修改或删除环境变量，供后续执行的程序使用。export的效力仅限于该次登陆操作。语法：export[-fnp][变量名称]=[变量设置值]参数说明：-f 代表[变量名称]中为函数名称。-n 删除指定的变量。变量实际上并未删除，只是不会输出到后续指令的执行环境中。-p 列出所有的shell赋予程序的环境变量。实例：列出当前所有的环境变量#export-p//列出当前的环境变量值定义环境变量赋值#exportMYENV=7//定义环境变量并赋值添加环境变量：默认保存在
Nginx安装1.官网下载Nginx2.使用XShell和Xftp将压缩包上传到Linux虚拟机中3.解压文件nginx-1.20.2.tar.gz4.配置nginx5.启动nginx6.拓展（修改端口和常用命令）（一）修改nginx端口（二）常用命令1.官网下载Nginxhttp://nginx.org/en/download.html这里我下载的是1.20.2版本，大家按需下载对应稳定版即可2.使用XShell和Xftp将压缩包上传到Linux虚拟机中没有XShell可以参考《Linux操作系统CentOS7连接XShell》3.解压文件nginx-1.20.2.tar.gz1）检查是否存
Halo，这里是Ppeua。平时主要更新C语言，C++，数据结构算法，Linux…感兴趣就关注我吧！你定不会失望。目录1.ls显示当前目录下的文件内内容2.pwd-显示用户当前所在的目录3.cd-改变工作目录。将当前工作目录改变到指定的目录下1.cd-回到上一次待的工作空间2.cd..返回上一层目录1.相对路径:cd../aurora2.绝对路径:cd/home/aurora/lesson1/aurora3.cd~进入用户家目录4.cd/进入root目录4.mkdir-新建目录5.rmdir/rm-删除1.rmdir删除空文件夹2.rm删除1.rm-f2.rm-i3.rm-r1.ls显示当前目
