使用gcc/g ++时抑制系统调用

Question

我在我的大学局域网中有一个门户，人们可以上传代码到C/C++的编程难题。我想使门户安全，以便人们不能通过他们提交的代码进行系统调用。可能有几种解决方法，但我想知道我是否可以简单地通过设置一些聪明的gcc标志来完成。默认情况下libc似乎包含<unistd.h>，这似乎是声明系统调用的基本文件。有没有一种方法可以告诉gcc/g ++在编译时忽略这个文件，以便在unistd.h中声明的函数都不能被访问？

Answer 1

为什么chroot("/var/jail/empty"); setuid(65534);不够好（假设65534有明显的限制）？

Answer 2

-D可以覆盖单个函数名称。例如：

gcc file.c -Dchown -Dchdir 

或者你可以设置包括守卫自己：

gcc file.c -D_UNISTD_H 

但他们的影响可以很容易地#undef S按智能汇交:)

Answer 3

限制访问头收归文件不会阻止你访问libc函数：如果你链接到libc，它们仍然可用 - 你只是不会有原型（和宏）的手;但你可以自己复制它们。

而不是链接到libc也不会帮助：系统调用可以直接通过内联汇编程序（甚至涉及跳入数据的技巧）。

我不认为这是一个很好的方法。在完全自包含的虚拟沙箱中运行上传的代码（可能通过QEMU或类似的东西）可能是更好的方式。