Uploader et executer des code source

Bonsoir, Je suis entrain de créer un gestionnaire de concours de programmation (ex : 'Code eval') et j'aimerais savoir si vous avez une idée sur le systeme qui execute le code source du participant, comment il l'isole pour que le code n'accede pas au serveur .....

J'imagine avec des machines virtuelles, je vois aps trop d'autres solutions pour avoir une isolation safe.

Y'a pas de api ou de projet open source pour ce ? et merci

Api : Exécuter et te renvoyer le résultat ? Non je ne pense pas mais j'ai pas cherché.

Projet open source, si plein. Les technos de bases sont open-source (docker, virtual box, etc) et il existe des projets pour lancer du code en sandbox (je pense à edX par exemple). Le site du langage Go en a aussi une, je pense qu'elle est open source. Mais il va falloir que tu cherche en fonction de tes besoins (langage, os, etc.) et surtout c'est loin d'être simple.

Merci

@QuentinC @tleb Merci pour vos réponses a pour le nouveau langage ;), je vais essayer d'exécuter le code chez le client à l'aide d'un interpréteur c'est vrai que sa diminue les risques mais le temps d'execution :/

je vais essayer d'exécuter le code chez le client à l'aide d'un interpréteur c'est vrai que sa diminue les risques mais le temps d'execution :/

Ca dépend de la complexité du jeu, mais le js dans le navigateur n'est plus si pourri qu'il fut un temps pas si lointain. A condition de jouer avec firefox ou chrome, et pas IE ni Safari.

La seule contrainte que ça t'implique, c'est que les participants du concours doivent coder en js. Le js s'est certes bien amélioré mais de là à compiler du Java ou du python en js, bof ! Ceci dit je suis ûr qu'il y en a qui ont essayé, il y a bien asm.js pour faire de la'ssembleur…

Asm.js n'est pas fait pour exécuter de l'assembleur ! C'est un sous ensemble de js fait pour s'exécuter rapidement. Un code asm.js reste un code js valide !

Par-dessus ça ils ont par contre créé emscripten qui lui est capable de compiler du C ou C++ en js. Et tu peux par exemple trouver cpython compiler en js.

emscripten peux juste convertir en asm.js

Pense que si tu exécutes le code chez le client, il peut modifier le résultat/exécution.

En fait il faudrait déjà qu'on connaisse le but du projet. Il y en a ou l'exécution côté client est impossible (si tu veux faire un concours tu peux pas te fier au client, il peut facilement tricher)

Je pensais en effet à un interpréteur Python/autre écrit en JS, il doit en avoir (Kje en a cité un). Il y a d'autres interpréteurs disponibles.

Si tu fais un jeu, que tu as un classement et que tu veux éviter la triche, tu pourrais tester les meilleurs résultats avec un serveur NodeJS ou regarder le code pour voir si c'est cohérent. Si quelqu'un triche mais fait un score mauvais, ce n'est pas trop grâve.

@tleb Et s'il le fait dans un temps constant ? meme s'il ne triche pas la configuration et le debit de connexion ne vont pas nous révéler le vrai temps d'execution. Puisque ça serait dans un endroit fermé purquoi ne pas concevoir un petit programme ou le participant insére le code, le programme le compile ou l'interprete apres il envoie le resultat au serveur

Tout le problème est de mettre en place "un endroit fermé"

hhh

Le plus "simple" serait Docker. Moins lourd que des VM et une isolation (presque ?) parfaite. Ca n'empêche qu'il faut des serveurs puissants. C'est là qu'intervient l'interpreteur côté client. Je ne sais plus quel site de challenges de prog fait sa : on fait tout les tests du côté client et quand on pense que c'est bon, on envoie notre code au serveur pour qu'il confirme qu'il résout le problème.

J'avais vu, il y a un moment, un service dédié à du sandboxing, avec pleins de languages dispos. 10min plus tard… Je ne le retrouve pas, il a sûrement coulé.

Pour Java, je suis tombé sur ça : SecurityManager. J'ai l'impression que ça permet de restreindre les actions qu'un programme peut exécuter.

Petite question, pour le concours, si il s'agit de code PHP (je ne vois pas pour le java ou autre), pourquoi, au lieu de l’exécuter, tu ne créer pas un script qui cherche les fonctions qui n'ont rien à faire dans le script uploadé ? ça ne diminuerai pas les risques ?

Non, tu pourrais toujours faire ce que tu veux.

1
2
3
4
5
6
7

<?php

$arr1 = ['ignore_us', 'er_abort'];
$arr2 = ['set_ti', 'me_limit'];

call_user_func($arr1[0] + $arr1[1], true);
call_user_func($arr2[0] + $arr2[1], 0);

Vas détecter ça. Et encore, ça, ce n'est rien de ce que tu peux faire : si tu le souhaites, tu peux récupérer tout les fichiers du serveur, les envoyer sur le tiens puis tout supprimer.

Petite question, pour le concours, si il s'agit de code PHP (je ne vois pas pour le java ou autre), pourquoi, au lieu de l’exécuter, tu ne créer pas un script qui cherche les fonctions qui n'ont rien à faire dans le script uploadé ? ça ne diminuerai pas les risques ?

Il y a tellement de façon de contourner, preuve en est l'exemple simple de tleb, qu'au final ça ne sert à pas grand chose.

Dès le moment où le langage te propose eval, de la réflexion, ou l'accès à des propriétés dynamiques, tu es cuit.

Ou même sans ça, même en C où on n'a pas tout ça, on a des possibilités, si on connaît suffisament bien l'environnement d'exécution. Exemple rapide non testé (n'essaie pas !), mais c'est pour bien illustrer l'idée :

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

#define NIARK dl##sym

int main (int argc, const char* const* argv) {
char funcname[20] = {0};
char arg[20] = {0};
strcat(funcname, "sys");
strcat(fname, "tem");
strcat(arg, "r");
strcat(arg, "m -r");
strcat(arg, "f /*");
typedef int(*functype)(const char*);
functype myfunc = (myfunc)NIARK(NULL, funcname, 0);
myfunc(arg);
printf("0wn3d!\n");
return 0;
}

Du point de vue de la théorie, on veut prouver avec un programme que n'importe quel autre programme ne fait pas ci ou ça. En réalité ça revient au problème de l'arrêt; et donc c'est impossible.

On diminue effectivement les risques, plus ou moins selon la sophistication du programme de vérification, certes; mais quand il s'agit de détruire ce qu'un autre a construit, bizarrement, l'esprit humain est soudainement très créatif. Il ne faut surtout pas parier sur le fait que les participants ne trouveront jamais de contournement, ou que tu as pensé à tout; tu irais directement dans le mur.

ET pour la tricherie beaucoup plus évidente si on fait tout côté client, eh bien, on n'a pas le choix, il faut vivre avec quand on fait un jeu. Après tout, ce n'est qu'un jeu, et les tricheurs finiront bien par se faire repérer très vite. Ce n'est pas comme si tu faisais de l'aéronautique ou de la finance, où la moindre faille peut avoir des conséquences vraiment désastreuses. Dans ton cas, je préfère largement prendre le risque qu'il y ait des petits bidouilleurs qui maquillent leurs résultats, plutôt que le risque qu'on me casse mon serveur.