是bug还是思维误区：权限继承“突破”“无效规则”

显示全部楼层 · 发表于 2015-4-30 10:39:41

按照权限继承原则，子进程继承父进程的权限，入沙程序调用和启动的程序，继承了入沙者的权限。
这样的结果，貌似就“导致了一些设置的失效”，产生了“突破”和“无效规则”。
比如说，把QQ的附加程序QQExternal.exe做条沙盘规则执行禁运，再做一条QQ规则QQ.exe低权限。运行QQ的时候，QQExternal.exe依然是运行了，按照QQ的低权限级别运行，那条禁运QQExternal.exe的规则岂不是被“突破”和作废了吗？

这究竟是BUG还是思维误区？个人觉得好像是后者。不管在沙盘里怎么写规则，其实都是以父进程为目标加以编写的。上述例子，并没有违反这个原则。

不知道大家怎么看。

显示全部楼层 · 发表于 2015-4-30 12:40:21

本帖最后由柯林于 2015-4-30 12:48 编辑

再次测试了下，将QQ不入沙，则规则规定QQExternal.exe自动入沙的入沙运行并且按规定的限制级别执行。

实测结果是：沙盘外程序启动的程序，被启动者将按照沙盘规则规定的限制级别加以执行；沙盘内的程序启动的程序，被启动者将无视沙盘规则的规定，按照权限继承原则，继承父进程的权限。这个究竟是bug还是特殊设计，偶不懂ing

补充个意外东东：测试得出的另一个结果是，对于QQ，只要不把TXPlatform.exe入沙，QQ.exe可以沙外运行并正常登陆，一旦把TXPlatform.exe入沙，QQ.exe只有入沙才可以正常登陆。如果想要对QQ有所限制的，请把TXPlatform.exe和QQ.exe沙外执行，其他那些不爽的，入沙即可。

显示全部楼层 · 发表于 2015-4-30 13:13:01

又学到一些，其实我不怎么用沙盘，是否危险比较大

显示全部楼层 · 发表于 2015-4-30 15:55:12

是的，QQ给低权限或者虚拟运行，子进程都是如此，就算有阻止规则也一样会有所谓的突破出来，我在QQ上打开邮箱浏览器也是如此了！
这个只能问问官方了，利弊都有！

显示全部楼层 · 发表于 2015-4-30 16:04:14

假设每个虚拟化的沙盒是独立的话，那么子进程行为跟随主进程就没错的，否则就会导致主进程和子进程不在同一个沙盒中，这样导致主进程发生异常。就像QQ这样的程序。

如果要每个程序都能按所设置的虚拟化规则去运行，则沙盒的访问逻辑必须是主进程沙盒可以访问子进程沙盒，反之亦然。但是，这样沙盒的互相访问又违反了沙盒本身的设计初衷。

显示全部楼层 · 发表于 2015-4-30 16:06:27

没研究过毛豆的沙盘在加载驱动的情况下是否能突破限制...到底是撒还不得而知;

QQExternal.exe是QQ.EXE下的子进程.试试把QQExternal.exe的禁止规则优先
,没用毛豆沙盘具体情况不明...

TXPlatform.exe是作为多用户的登录窗口作用,在沙盘中运行时,QQ.EXE进入沙盘
中运行是正确的;TXPlatform.exe是SVCHOST下的子进程,不是QQ.EXE的子进程.

说明下,没有破解的QQ在运行时已经触到底层,无防读的软件限制无效.限制与突破
就看哪个的驱动...了...

显示全部楼层 · 发表于 2015-4-30 16:15:19

QQ、渣雷这类的程序，还是装个虚拟机，放里面跑最安心。只要主机内存够（建议6G以上），这种虚拟机512M-1G装个XP就能跑的很舒服了。

显示全部楼层 · 发表于 2015-4-30 20:34:21

rex_bbs 发表于 2015-4-30 16:15
QQ、渣雷这类的程序，还是装个虚拟机，放里面跑最安心。只要主机内存够（建议6G以上），这种虚拟机512M-1G ...

问题是，很多人都4G内存啊，而迅雷，随便下个上G的电影几部，怎么玩？电视剧一堆，高清的来几部，迅雷“崩盘”了

显示全部楼层 · 发表于 2015-4-30 20:38:04

柯林发表于 2015-4-30 20:34
问题是，很多人都4G内存啊，而迅雷，随便下个上G的电影几部，怎么玩？电视剧一堆，高清的来几部，迅雷“ ...

弄个512M，虚拟盘挂两个一个系统一个20G-30G的下栽盘，下载后就转本地盘，主机晚上挂架或不开大型应用时非常舒服，对主机一点影响都没有哦

显示全部楼层 · 发表于 2015-4-30 20:42:24

rex_bbs 发表于 2015-4-30 20:38
弄个512M，虚拟盘挂两个一个系统一个20G-30G的下栽盘，下载后就转本地盘，主机晚上挂架或不开大型应用时 ...

呵呵

喜欢这样，也无不可。

[讨论] 是bug还是思维误区：权限继承“突破”“无效规则”