PHPサンドボックスのセキュリティ問題

Question

私はWebアプリケーションハニーポット用のPHPサンドボックスを開発中です。 PHPサンドボックスは、RFI攻撃の一部として注入されたかもしれないPHPファイルを解析します。安全な環境でファイルを実行し、結果を返し、PHPスクリプトの出力を埋め込む必要があります。私たちは、これが真の応答であると信じるように攻撃者をだますことを望み、攻撃の次のステップを続行します。

サンドボックスを構築するために、Advance PHP Debugger（ADP）を使用しました。 rename_functionとoverride_functionを使用すると、脆弱なPHP関数が書き直されました。 exec、disk_free_spaceなどの一部の機能は、偽の返信を送信するために書き直されました。他のすべての関数は何も返さない。 Here'sは、考慮されている機能の完全なリストです。

また、入力スクリプトはサンドボックス内で最大10秒間だけ実行されます。その後、サンドボックスプロセス全体が終了します。

1. このリストは十分ですか？これによってサンドボックスはWebアプリケーションの一部として十分に安全になりますか？

2. このようなブロック機能を呼び出すと、さらにセキュリティ対策が講じられますか？

3. 最後に、これはハニーポットです。だから、私たちの返信をできるだけ真の返答に近づけたいと思っています。だから、dns_check_recordとgethostbynameのようなDNS関数呼び出しをブロックすることで、スクリプトの実行範囲が不必要に制限されます。 （なぜ彼らが最初に存在するのかわからない）

   要するに、私はどの要素をリストから追加/削除すべきかを知りたい。

4. これについてのその他のご提案/アドバイスは高く評価されます。

Answer 1

私はそれは非常に難しい、不可能ではない場合は、すべての可能な有害作用を予測することは、それらの出力（例えば、highlight_fileまたはその別名SHOW_SOURCEはあなたのリストにない）偽の順に呼び出しを考えます。さらに、実際のアプリとハニーポットの両方に同じサーバーを使用すると、その他の問題が発生します。アプリは拡張機能を使用していますか？それ以上の機能があれば、ブロック/偽装する必要があります。これらの内線番号の1つを更新するとどうなりますか？新しいセキュリティホールを再確認する必要があります。また、悪意のあるファイルがハニーポットにアップロードされ、メインアプリケーションからアクセスされるとどうなりますか？それが起こらないように対策をとることは確かですが、ある時点でバグがあった場合、有害なコードはすでにサーバー上にあるでしょう...私には安全ではありません。

私は、MitMaroが推奨されています。その場合、VM自体はサンドボックスと同じくらい良い状態になります。多くの努力をするだけで、メインアプリケーションのセキュリティを損なうことなく、VM内で実行することができます。