Linux：是否可以沙箱共享库代码

Question

我有一个需要通过加载共享库来扩展的进程。有没有办法在沙盒环境中运行共享库代码（除了外部进程），这样如果它是段错误的，它不会使进程崩溃，并且它可以分配多少内存的限制，它可以使用的cpu周期等等。

Answer 1

没有。如果共享库segfaults你的进程将segfault（该进程正在执行库代码）。如果你将它作为一个外部进程运行并使用RPC机制，那么你就可以崩溃了，但你的程序需要检测服务何时不可用（并且需要重新启动它）。像chroot这样的工具可以沙箱进程，但不能处理可执行文件链接到的各个库。

Answer 2

我认为没有一种干净的方法可以做到这一点。你可以尝试：

• 捕获段错误并从中恢复（棘手，特定于架构，但可行）
• 使用将计算分配空间（how to replace default malloc by code）
的已检测版本替换对库的malloc / calloc的调用
• 或者使用malloc hooks（http://www.gnu.org/software/libc/manual/html_node/Hooks-for-Malloc.html）
• CPU周期是整个过程的一部分，所以我不认为有任何方法可以获得图书馆的信息。只有可行的选项 - 你的代码所做的每个库调用的手动测量滴答。

从本质上讲 - 尝试这会很有趣，但我建议您使用单独的流程方法并使用RPC，配额，ulimits等。