So verhindern Sie, dass Plugins schädlichen Code ausführen

Question

Ich arbeite gerade an einem sehr modularen und pluginbasierten Framework für meine Bachelorarbeit. Die Hauptidee ist, dass es einen Ordner in meiner Anwendungsstruktur mit dem Namen plugins gibt, wo Sie kompilierte Plugins (z. B. .dll-Dateien) einwerfen können, die einer speziellen Schnittstelle IPlugin entsprechen. Die Anwendung führt dann Aufgaben mit dem Plugin aus, das ein Benutzer auswählt. Also, wenn ich eine Aufgabe einmal in einer PDF-Datei ausführen möchte, würde ich die PdfPlugin wählen und einmal in einem Word-Dokument würde ich die DocPlugin zur Arbeit wählen.

Die Ausgabe ist auch in Schnittstellen definiert, so dass jedes Plugin die gleiche Datenstruktur zurückgibt. Nur die tatsächliche Arbeit unterscheidet sich für jede Bibliothek.

Nun ruft die Anwendung nur die Methoden auf, die in der Schnittstelle definiert sind, z. ParseDocument() und wie kann ich verhindern, dass die Plugins (die möglicherweise von Dritten entwickelt wurden) schädlichen Code ausführen?

Ich arbeite an .NET3.5 (vielleicht wird auf 4, noch nicht entschieden) und C#.

Answer 1

Ich arbeite an NET3.5

In diesem Fall würde ich Ihre Plugins isolieren in einem separaten AppDomain, verwenden Code Access Security und beschränken den Berechtigungssatz der App Domain laufen. Dies "sandboxes" Ihre Plugin-Assemblies.

Zum Beispiel könnten Sie alle Unmanaged Code-Berechtigungen und File IO-Berechtigungen entfernen, und dann wäre Ihr Plugin niemals in der Lage, in das Dateisystem zu schreiben.

Dies ist nichts für schwache Nerven. AppDomains können schwierig zu handhaben sein und Serialisierung, Richtlinien für die Lebenszeit von Objekten usw. erfordern. Sie könnten MAF verwenden, da es viel von den Rohrleitungen entfernt.

Answer 2

Ich weiß, dass in diesem Bereich einiges erforscht wird. Ein Arbeitsansatz besteht darin, den IL-Code zu prüfen und nach verbotenen Methodensignaturen zu suchen. Dann können Sie sie zu einem Fehler-Hook umleiten, der das Plugin davon abhält, weiteren Code auszuführen.

Eine Anwendung ist z.B. erhöhte Sicherheit für Smartphones, wo Sie den IL-Code von heruntergeladenen Apps auf Zugriffsmethoden zum GPS-Modul, zur Kamera, zum Mikrofon usw. überprüfen können. Die Sicherheitsanwendung kann dann diese Zugriffsmethoden patchen und den Benutzer fragen, ob die Anwendung wirklich sein sollte erlaubt das Mikrofon zu aktivieren.

Mit .NET können Sie einen IL-Reader wie Mono.Cecil verwenden, um den IL-Code auf schädliche Signaturen zu überprüfen. Es gibt jedoch immer Möglichkeiten, da Sie Code dynamisch generieren oder Code als Ressource speichern und von einer Ressource im Rume-Modus laden können. Für einen Machbarkeitsnachweis ist dieser Ansatz ziemlich einfach.

Sie könnten sogar eine FXCop-Regel schreiben und damit statisch die Plugins auf verbotene Methodenaufrufe überprüfen.

Answer 3

Sie können nicht.

DLLs sind Binärcode, der mit den Rechten des aufrufenden Programms ausgeführt wird. Wenn eine Methode von einer DLL aufgerufen wird, haben Sie keine Kontrolle darüber, was es tut.

Wenn Sie begrenzen wollen, was ein Plugin tun kann, müssen Sie die Ausführung in Ihr Hauptprogramm verschieben.Eine gute Möglichkeit wäre, Plugins in einer Skriptsprache zu implementieren, die von Ihrem Programm anstelle von Binärbibliotheken analysiert und ausgeführt wird.