Baekjoon Online Judge(https://www.acmicpc.net) 에서 채점할 때 사용하는 샌드박스에 대한 간단한 설명을 담고 있습니다. 2012년 10월에 작성한 파일이라서 현재 사용하는 방식과는 많은 차이가 있고, 기초적인 수준의 샌드박싱을 다룹니다.

1. 샌드박스와 온라인 저지
2012/10/4
최백준 (baekjoonchoi@gmail.com)

2. 샌드박스
● 샌드박스는 어떤 보호된 영역에서 프로그램
을 실행시키는 것
● 믿을 수 없는 소스, 프로그램을 실행시킬 때,
믿을 수 없는 사람, 웹사이트의 프로그램을
실행시킬 때

4. 샌드박스를 사용하는 예
● 온라인 저지
● Virtual Machine
● JVM
● 백신
● 스마트폰
● 등등등...

5. 온라인 저지

6. 온라인 저지
프로그래밍 대회에서 프로그램들을 시험할 목적
으로 만들어진 온라인 시스템
코드를 컴파일하고, 실행하고, 미리 작성된 데이
터로 테스트 하게 된다.

7. 온라인 저지의 예
POJ: http://www.poj.org
UVA: http://uva.onlinejudge.org
SPOJ: http://www.spoj.pl
AOJ: http://www.algospot.com
lavida.us: http://judge.lavida.us
경기과고: http://www.koistudy.net
더블릿: http://www.dovelet.com

8. www.acmicpc.net
Baekjoon Online Judge

9. HUSTOJ
● http://code.google.com/p/hustoj
● GNU GPL v2
● 50개 이상 온라인 저지 사용중

10. 1단계
1. 샌드박싱: 안함
2. 채점 가능한 언어: C언어
3. 데이터 개수: 1개

11. 정답비교
1단계
실행
컴파일

12. 1단계
gcc Main.c -o Main
정답비교
실행
컴파일
./Main

13. 1단계
const char *CP_C[] = {"gcc","Main.c", "-o", "Main",NULL};
execvp(CP_C[0], (char * const *) CP_C);
컴파일
gcc Main.c -o Main

14. execvp
다른 프로그램을 실행시키는 함수
예)
char *argv[] = {"ls","-al"};
execvp("ls",argv);

19. 컴파일 문제
execvp함수는 호출되고 종료되어 버린다.

20. fork
현재 실행되는 프로세스의 복사본을 만든다.
모든 값을 그대로 이어 받지만, fork의 리턴값과
다르다.
fork의 리턴값은 부모는 자식의 프로세스 아이디
, 자식은 0이다.

23. 1단계
fork 컴파일
기다림
기타 처리... (성공, 컴파일 에러)

24. waitpid
자식 프로세스가 종료될 때 까지 대기
int status = 0;
waitpid(pid, &status, 0);

25. exit code
0이면 올바른 종료
0이 아니면 올바르지 않은 종료

27. 1단계
execl("./Main","./Main", (char *)NULL);
실행
./Main

28. execl
다른 프로그램을 실행시키는 함수
execvp와 비슷한 역할을 한다.
배열을 사용하지 않고, print, scanf처럼 인수 리
스트를 사용

30. 2단계
1. 샌드박싱: 안함
2. 채점 가능한 언어: C언어
3. 데이터 개수: 여러개

31. 정답비교
1단계
실행
컴파일

32. 정답비교
2단계
실행
컴파일
여러번

33. 3단계
1. 샌드박싱: 함
2. 채점 가능한 언어: C언어
3. 데이터 개수: 여러개

34. 시스템 호출
● 운영체제가 제공하는 기능에 대한 프로그래
밍 인터페이스
● 대부분 직접 시스템 호출을 사용하지 않고,
고급 API를 통해 시스템 호출에 접근
● 프로그래밍 언어에서 지원하지 않는 기능에
대하여 운영체계의 루틴을 호출하여 이용하
는 것

35. 시스템 호출의 3가지 기능
1. 사용자 모드에 있는 운영 프로그램이 커널의
기능을 사용할 수 있도록 하는 것
1. 시스템 호출을 부르면 사용자 모드에서 커널
모드로 바뀐다
1. 커널에서 시스템 호출을 처리하면 커널 모드
에서 사용자 모드로 바뀌어 작업을 계속 한다

36. 시스템 호출의 5가지 유형
1. 프로세스 제어
2. 파일 조작
3. 장치 관리
4. 정보 유지
5. 통신

37. 시그널
시그널은 유닉스 계열 OS에서 인터럽션의 간단
한 형태이다

38. strace
시스템 호출과 시그널을 추적한다.

40. strace -ff ./1

42. strace -ff ./1 2>&1|awk -F( '{print $1}'|sort -u

44. call_counter 배열
int call_counter[512] 배열은 해당하는 시스템 호
출 번호 (인덱스)를 얼마나 사용할 수 있는지 저
장하는 배열
예를 들어 call_counter[SYS_exit] = 2 이라면,
exit이라는 시스템 콜은 2번만 사용할 수 있는 것
편의를 위해 음수 값은 무한대 사용이라 가정

45. SYS_*
SYS_와 같은 형식은
sys/syscall.h에 정의되어 있다.

46. ptrace
부모 프로세스가 다른 프로세스의 실행을 관찰
하거나 제어할 수 있다.
ptrace(리퀘스트, pid, addr, data)

47. PTRACE_TRACEME
PTRACE_TRACEME는 이 프로세스가 부모 프
로세스에 의해 추적되어야 한다는 것을 의미
시스템 호출이 호출되면, 부모 프로세스에게
SIGTRAP을 야기한다
ptrace(PTRACE_TRACEME,0,NULL,NULL)

48. PTRACE_GETREGS
PTRACE_GETREGS는 자식의 범용, 소수점 레
지스터들을 각각 부모 프로세서의 data위치로
복사하는 리퀘스트
ptrace(PTRACE_GETREGS, pid, NULL, &reg);

52. PTRACE_SYSCALL
중지된 자식 프로세스를 다시 시작

54. WIFEXITED
자식 프로세스의 정상 종료되었는지 확인하는
매크로

55. WEXITSTATUS
자식 프로세스의 exit code를 확인하는 매크로

56. WIFSIGNALED
시그널에 의해 프로세스가 종료되었는지 확인하
는 매크로

58. 4단계
1. 샌드박싱: 함 + chroot 감옥
2. 채점 가능한 언어: C언어
3. 데이터 개수: 여러개

59. chroot
자식 프로세스의 루트 디렉토리를 바꿔준다.

61. 10초에 1페이지씩 지나갑니다.
더 나아가서...

62. 시간/메모리/파일 제한은 어떻게?
setrlimit 함수를 이용하자!

63. C++ 추가는 어떻게?
gcc만 g++로 바꾸면 된다!

64. Java 추가는 어떻게?
chroot 감옥 대신 java.security.manager를 이용
하자

65. Python 같은 언어는 어떻게?
이런 언어는 /usr/bin/python과 관련된 파일을 모
두 chroot 감옥으로 복사!
shared library도 복사해야됩니다

66. 있습니다.
오픈 소스로 공개할 계획은 없나요?