安全模型
为了安全地运行CGI等程序，Ruby设置了安全结构。
Ruby的安全模型由“对象的污染”和“安全级别”构成。
对象的污染
Ruby有时会认为对象“遭到了污染”，这主要有两种用途。
第一，以不安全的输入为基础制成的对象就是“受污染”的对象，不能用作“危险操作”的参数。这主要是为了防止恶意数据导致程序作出一些意外的危险动作。
第二，可以使安全对象(未遭污染的对象)得到保护，免遭不安全对象的威胁。若安全级别为4，则对未受污染的对象进行操作时就会受到很多限制，这正体现了对于安全方面的考虑。
与对象的污染有关的方法
-
Object#taint
-
污染对象
-
Object#tainted?
-
若对象受到了污染就返回真
-
Object#untaint
-
消除对象受到的污染
安全级别
每个线程都有特有的“安全级别”。安全级别越高，操作受到的限制也就越多。线程局部变量$SAFE标明了安全级别。
[ruby-list:37415]
$SAFE的相关规则
- 程序开始时$SAFE的值为0
- 各线程在生成时继承父线程的$SAFE值
- 不能降低现有的$SAFE值
从原则上讲，低安全等级时的限制也适用于高安全等级。例如，若某操作在1级就被禁止的话，在2级就更不可能通过了。
0级
默认的安全级别。
被污染对象
环境变量PATH比较特殊，只有当其值中含有危险路径时才会受到污染。
这时所说的危险路径是指，谁都可以变更或写入的路径。从根目录起层层检查，若包含谁都可以更改的地方的话，该路径就是危险的。
禁止的操作
1级
特指以安全程序处理不安全数据的情况。适合于用CGI等处理用户的输入。
被污染对象
禁止的操作
- 下列以受污染字符串为参数的操作
- Dir, IO, File、FileTest的类方法、方法
- 使用FileTest操作符、比较文件的更新时间
- 执行外部命令(system, exec, ``)
- eval (参考4级的说明)
- 加载顶层(若使用第二参数进行wrap则可以执行)
- require
- trap
- 执行外部命令(只有当环境变量PATH中包含危险路径时)
2级
被污染对象
禁止的操作
在1级限制的基础上，以下操作也被禁止。
- Dir.chdir Dir.chroot Dir.mkdir Dir.rmdir
- File.chown File.chmod File.umask File.truncate File#lstat File#chmod File#chown File#delete File#unlink File#truncate File#flock 以及FileTest模块的方法
- IO#ioctl, IO#fcntl
- Process.fork Process.setpgid Process.setsid Process.setpriority Process.egid= Process.kill
- 使用危险路径load
- 以被污染字符串为参数的load(即使被wrap也不行)
- syscall
- exit!
- trap
3级
所有生成的对象都被污染。适于为在4级状态下运行程序提供环境。
被污染对象
禁止的操作
在2级限制的基础上，以下操作也被禁止。
4级
执行不安全程序时等级。
此时，3级时禁止的“受污染字符串的eval”却被解禁。(这是因为用eval时，所有的危险操作都已经被禁止了。)
被污染对象
禁止的操作
在3级限制(如上所述，不包括eval)的基础上，以下操作也被禁止。
- Object#taint
- 改变顶层的定义(autoload, load, include)
- 对既存方法的再定义
- 改变Object类的定义
- 改变未被污染的类和模块的定义或改变类变量
- 改变未被污染的对象的状态
- 改变未被污染的全局变量
- 使用未被污染的IO及File的处理
- 输出到IO
- 程序的终结(exit, abort)(且out of memory也不fatal)
- 对其他线程造成影响的Thread类的操作以及其他线程的Thread#[]
- ObjectSpace._id2ref
- ObjectSpace.each_objectruby 1.7 feature
- 改变环境变量
- srand
其他的安全级别相关信息
- 当$SAFE = 0时才执行require
- 若超过Level1的话，启动时会有下列不同
- 不把环境变量RUBYLIB添加到$:之中
- 不把当前目录添加到$:之中
- 不处理环境变量RUBYOPT
- 不能使用下列开关 -s -S -e -r -i -I -x (就算脚本被setgid, setuid也是如此)
- 不会从标准输入读入程序 (就算脚本被setgid, setuid也一样)
- 被setuid, setgid的脚本将在超过$SAFE = 1的状态下运行。
- 在3级以上的环境中生成的Proc将会记下该时刻的安全级别。若受污染的Proc对象被call的话，它将以记忆的安全级别来运行。
- 若受污染的Method对象被call的话，将以4级状态运行。
- 若将受污染的字符串指定为trap/trace_var的第二参数时，将以4级状态运行ruby 1.7 feature：在 version 1.7中，若将受污染的字符串指定为第二参数而运行trap/trace_var的话，马上就会引发异常SecurityError。
- 超过4级的话，即使out of memory也不会fatal。
- 根据您安装情况的不同，Fixnum Symbol true false nil可能不会被污染。但请注意Bignum Float可能会受到污染。
实例
$SAFE级别一旦升高就不能调低了。如下所示，可以使用线程将程序的一部分置入高安全级别状态下运行。
例:
def safe(level) result = nil Thread.start { $SAFE = level result = yield }.join result end safe(4) { puts "hello" } # 因为是$SAFE所以例外 puts "world" # 外部不受影响
扩展库中的应对
- 在扩展库中，有必要对对象的污染状态进行适当的传播。
- 改变全局状态或与外部联系之前，有必要检查安全级别。
[ruby-list:37407]
