Vm2: समय से प्रतिरक्षित नहीं(1){}

को निर्मित 2 जन॰ 2019 · 19टिप्पणियाँ · स्रोत: patriksimek/vm2

निम्नलिखित कोड टाइम आउट नहीं होगा।

const {VM} = require('vm2');
new VM({timeout:1}).run(`
        function main(){
        while(1){}
    }
    new Proxy({}, {
        getPrototypeOf(t){
            global.main();
        }
    })`);

bug confirmed help wanted

स्रोत

XmiliaH

👍9 😕3

सभी 19 टिप्पणियाँ

इसका कोई अच्छा समाधान होने की संभावना नहीं है। NodeJS एकल प्रक्रिया है। जबकि(1){} सुरक्षा के लिए बहु-प्रक्रिया की आवश्यकता होती है ताकि चेकर थोड़ी देर के लिए अवरुद्ध न हो जाए(1){}। हो सकता है कि अगर हम स्पाइडरनोड प्रोजेक्ट को फिर से शुरू कर सकें …

anonyco 22 जन॰ 2019

👎1

यह Decontextify.value के साथ अतिथि वस्तु के प्रोटोटाइप के लिए परीक्षण के कारण होता है instanceOf । Node.js vm मॉड्यूल निश्चित रूप से इससे प्रतिरक्षित है। एक गरीब आदमी का पैच पिछले दरवाजे पर हो सकता है Proxy ताकि हम सैंडबॉक्स से किसी भी प्रॉक्सी ऑब्जेक्ट का पता लगा सकें, लेकिन एक आदर्श तरीका यह होगा कि कभी भी किसी ऑब्जेक्ट और फंक्शन पर भरोसा न करें और संदर्भ को सैंडबॉक्स में डाल दें। अतिथि वस्तुओं को संदर्भित करने के लिए संचार और हैंडल करने के लिए आदिम मूल्यों का उपयोग करना।

iamahuman 7 फ़र॰ 2019

लोगों के देखने के लिए, अविश्वसनीय कोड चलाने वाले बच्चे के साथ बात करने के लिए ब्राउजरलेस चाइल्ड-प्रोसेस और मैसेज-पासिंग का उपयोग करता है। यह एक सेटअप कार्य है, लेकिन एक बार ऐसा करने के बाद आप while(1){} हमलों के स्रोत यहाँ है ।

joelgriffith 13 मार्च 2019

ऐसा लगता है कि इस परियोजना का पूरा बिंदु पूरी तरह से अलग नहीं है
ओएस प्रक्रिया। अन्यथा कई समाधान उपलब्ध हैं जो बहुत हैं
अधिक सुरक्षित।

iamahuman 13 मार्च 2019

अन्यथा ऐसे कई समाधान उपलब्ध हैं जो कहीं अधिक सुरक्षित हैं।

जो लोग? मुझे यकीन नहीं है कि NodeJS में VM2 का एक बेहतर विकल्प है, कम से कम ऐसा नहीं है जो मैंने देखा है

joelgriffith 21 मार्च 2019

इस पुस्तकालय के अनुरक्षक ने अंक #80 में इस विकल्प की ओर इशारा किया:

https://github.com/laverdet/isolated-vm

मैंने अभी तक खुद इसकी कोशिश नहीं की है।

chung-leong 22 मार्च 2019

मैं केवल बाल प्रक्रिया में अविश्वसनीय कोड चलाता हूं। इसे मुख्य V8 इंस्टेंस में चलाने का जोखिम नहीं उठा सकते हैं, खासकर जब आप जानते हैं कि यह सिंगल थ्रेडेड है।

V8 इंजन को सीधे कॉल करने की समस्या आयात मॉड्यूल की कमी है। मेरे मामले में मुझे HTTP संचालन की अनुमति देने के लिए अनुरोध मॉड्यूल आयात करने की आवश्यकता है। यह भी अतुल्यकालिक होना चाहिए।

मुझे vm2 + child_process एक अच्छा संयोजन लगता है।

sebastien-ma 13 अप्रैल 2019

अरे,

मैंने और @हरेलमो ने while(1) {} से प्रतिरक्षित है।

जैसा कि तियान-मा ने उल्लेख किया है, लेकिन हम बाल प्रक्रियाओं के बजाय नोड.जेएस कार्यकर्ता धागे का उपयोग करते हैं।

यहां एक नज़र डालें: https://www.npmjs.com/package/isolated-runtime और हमें बताएं कि आप क्या सोचते हैं :)

idan-at 2 मई 2019

सैंडबॉक्स के भीतर सिर्फ Proxy अक्षम करना एक और समाधान होगा, है ना?

const vm = new VM({
    sandbox: {
        Proxy: undefined
    },
    timeout: 100
});

Yogu 6 मई 2019

Promise का उपयोग करके ऐसा कोड लिखना भी संभव है जो कभी समाप्त न हो:

"use strict";
const {VM} = require('vm2');
const untrusted = '(' + function(){
    Promise.resolve().then(a=>{
        while(1){}
    });
}+')()';
try{
    console.log(new VM({timeout:10}).run(untrusted));
}catch(x){
    console.log(x);
}

यहां समस्या यह है कि .फिर बाद में माइक्रोटास्क कतार में बुलाए जाने वाले फ़ंक्शन को कतारबद्ध करेगा।
इसे ठीक करने के लिए हमें अपना खुद का Promise.then और संबंधित फ़ंक्शन लिखना होगा या Promise को अक्षम करना होगा।

XmiliaH 13 सित॰ 2019

यह भी काम करता है:

const {VM} = require('vm2');

const script = '(' + function() {
    (async function x(){
        await {then: y=>y()};
        while(1){}
    })();
}+')()';

new VM({timeout:10}).run(script);

तो सिर्फ प्रॉमिस को ओवरराइड करने से काम नहीं चलेगा।
इसे कैसे ठीक किया जाए, इसका कोई विचार नहीं है।

XmiliaH 14 सित॰ 2019

जबकि यह खुला रहता है, हमें संभावित उपयोगकर्ताओं को चेतावनी देने के लिए README में एक स्पष्टीकरण जोड़ना चाहिए। यह भेद्यता व्यक्ति को सैंडबॉक्स से बचने की अनुमति देती है और इस प्रकार यह पुस्तकालय के उद्देश्य को विफल कर देती है।

mmiszy 9 जन॰ 2020

रीडमी https://github.com/patriksimek/vm2/commit/77f5265ab53b87864a312156ee62b1082787e9b0#diff -04c6e90faac2675aa89e2176d2eec7d8 अपडेट किया गया। और मुझे नहीं पता कि इसका उपयोग सैंडबॉक्स से बचने के लिए कैसे किया जा सकता है, आप केवल उस इच्छित समय सीमा से बच सकते हैं जिसमें स्क्रिप्ट चलनी चाहिए।

XmiliaH 9 जन॰ 2020

शायद यह उसका अपना मुद्दा होना चाहिए, लेकिन NodeVM "टाइमआउट" का समर्थन क्यों नहीं करता है?

crowder 12 फ़र॰ 2020

@crowder NodeVM में सेटटाइमआउट, सेटइंटरवल और सेटइमीडिएट मौजूद है, टाइमआउट को दरकिनार करना आसान होगा। हो सकता है कि अन्य कारण भी हों, लेकिन मैं NodeVM के साथ काम नहीं करता, केवल VM।

XmiliaH 12 फ़र॰ 2020

@XmiliaH कम से कम अनपेक्षित अनंत लूप से टाइमआउट को रोकने के लिए लागू नहीं करेगा?
दुर्भावनापूर्ण जबकि (सत्य) + सेटटाइमआउट संयोजन अभी भी एक मुद्दा होगा लेकिन गलती से किए गए किसी भी साधारण अनपेक्षित अनंत लूप को टाइमआउट का समर्थन करके नियंत्रित किया जा सकता है

szydan 24 फ़र॰ 2020

मेरी चिंता यह है कि NodeVM को ऐसे मॉड्यूल की आवश्यकता होती है जो होस्ट मॉड्यूल हो सकते हैं और वैश्विक स्थिति बदलते समय समय समाप्त हो सकता है। इसके अलावा NodeVM एक मॉड्यूल लौटाता है और उपयोगकर्ता मॉड्यूल द्वारा उजागर किए गए कार्यों को कॉल करने की काफी संभावना रखते हैं, हालांकि टाइमआउट केवल मॉड्यूल लोडिंग पर लागू होगा, न कि फ़ंक्शन कॉल पर।
यदि आप किसी फ़ंक्शन को टाइमआउट के साथ कॉल करना चाहते हैं तो आप इसे स्वयं लागू कर सकते हैं:

function doWithTimeout(fn, timeout) {
    let ctx = CACHE.timeoutContext;
    let script = CACHE.timeoutScript;
    if (!ctx) {
        CACHE.timeoutContext = ctx = vm.createContext();
        CACHE.timeoutScript = script = new vm.Script('fn()', {
            filename: 'timeout_bridge.js',
            displayErrors: false
        });
    }
    ctx.fn = fn;
    try {
        return script.runInContext(ctx, {
            displayErrors: false,
            timeout
        });
    } finally {
        ctx.fn = null;
    }
}

XmiliaH 24 फ़र॰ 2020

अच्छा बिंदु @XmiliaH और उदाहरण के लिए धन्यवाद
मैं देख रहा हूँ कि आपका उदाहरण vm पैकेज का उपयोग कर रहा है न कि vm2 का
vm2 का उपयोग करने में सक्षम होना अच्छा होगा और फिर भी इसे टाइमआउट करने में सक्षम होना चाहिए

szydan 24 फ़र॰ 2020

@szydan मेरे द्वारा पोस्ट किया गया कोड

XmiliaH 24 फ़र॰ 2020

👍1

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Vm2: समय से प्रतिरक्षित नहीं(1){}

सभी 19 टिप्पणियाँ

संबंधित मुद्दों