Sandbox???

[DITTY]

Hallo COM,

ich habe mal was neues vor, bräuchte aber mal ein Denkanstöße / Keywords / Befehle / Quellen (nicht Codes).

Wie der Titelname es schon vermuten lässt, versuche ich eine Art Sandbox-Umgebung zu schaffen.

Dabei soll es sich aber nicht um virtualisierung, a´la Xen / Hyper-V, etc. handeln.

Um es mal kurz zu erklären:

Für eine EXE-Datei soll ein vorhandes Betriebssystem (welches lediglich in Form einer Ordnerstruktur vorliegt), sowie eine eigene Registrie vorgegauckelt werden, sodass diese eben vom Rest des Systems abgeschottet ist.

Nur habe ich überhaupt keinerlei Idee, wie es möglich sein soll einer EXe-Datei mitzuteilen, dass das Betriebsystem & Festplatte meine Ordnerstruktur ist und nicht das eigentliche. Ebenso hab ich keinen Plan, wie es möglich sein soll, der EXe-Datei zu sagen, sie solle nicht in die echte Registry schreiben, sondern in die eigene (virtuelle).

Hat dazu jemand eine Idee?

Danke und Gruß

DITTY :):)

[Chief Wiggum]

Hat dazu jemand eine Idee?

http://dev.chromium.org/developers/design-documents/sandbox/Sandbox-FAQ

Achso: Sandboxing != Virtualisierung. Mach dir das bitte klar, bevor du wieder seltsame Ideen hast.

[Crush]

DITTY, wenn Du Dein vorhandenes Betriebssystem verwendest und es nicht kommerziell einsetzt, dann kannst Du Altiris SVS Personal verwenden. Der Ordner ist zwar anfangs standardmäßig auf c:\fsldr gelegt, kann aber in der Registry auf sonstwohin umgebogen werden. Alle virtualisierten Programme und Registry-Zugriffe legt das Ding in einem eigenen Ordner je Programm ab - mit Löscheinträgen! Die Programme kann man dann einzeln jeweils exportieren und importiern und ruckzuck unterschiedliche Installationsbedingungen umschalten. Z.B. gibt es Progs, die sich nicht gerne in unterschiedlichen Versionen gleichzeitig installieren lassen - mit dem SVS kann man dann ganz bequem umswitchen. Ändern Programme Dateien in anderen Laufwerken, werden die Änderungen in einer virtuellen Datei on-the-fly eingeblendet. Beim Deaktivieren der Schichten ist dann wieder das Original sichtbar - ohne Änderungen. Ich benutze das Prog schon seit zig Jahren um mir langwierige Installationen zu vereinfachen oder einfach neue Progs mal zu testen und kann es nur wärmstens weiter empfehlen. Das Teil hat aber keine Hardware/Netzwerk-Sandbox wie zum Beispiel die Tiny Firewall. Diese Zugriffe finden real statt und werden nicht abgefangen oder abgeschirmt.

Das selber zu programmieren ist vermutlich eine Affenarbeit, weil man dazu VXD-Programmierung für die Treiberzugriffe beherrschen muß und sich diese soweit ich weiß vom Betriebssystem irgendwie mit so komischen Genehmigungsverfahren von Microsoft in den Policies freischalten lassen muß, sonst wird das binary geblockt. Evtl. gibt es irgendwelche System-Hooks, mit denen man ähnliches erreichen könnte... Vielleicht gibt es aber auch irgendwelche anderen Tricks die mir nur bis jetzt nicht bekannt sind. Solltest Du etwas finden, sag mir bitte bescheid, weil ich auch so etwas für ein Projekt benötigen könnte.

Bearbeitet 27. Juli 2009 von Crush