是否有一个相当于chroot的Windows？

24

在* nix系统上，我可以使用chroot将两个进程彼此隔离，并与系统其余部分隔离。Windows下是否有任何类似的安全系统？还是有什么方法可以防止两个进程读取/写入彼此的文件？

— 车
source

1

我不确定这里是否需要使用安全标签。kerneltrap.org/Linux/Abusing_chroot

— MDMarra

1

— @The Rook-

1

@The Rook-对，我只是说你可能想改一下这个问题。chroot或旋转概念（如监狱）的扩展已经考虑到安全性。在您的帖子中，您将chroot称为安全设备，但从未希望如此。

— MDMarra

1

@Nathan Adams我同意，但是“层层安全”。

— 鲁克

1

看起来我在这里问了类似的问题。您是否曾经在Windows Server上进行过设置？您接受的答案既没有说明如何执行此操作，也没有说这是不可能的……

— RomanSt

5

我不确定您会通过chrooting在Windows上获得任何收益-您是否有特殊需要？

如果在Google上排名靠前的结果是http://www.winquota.com/wj/。

也许应用程序虚拟化可能是一种选择？微软对此有以下说法：

在物理环境中，每个应用程序都依赖于其OS来提供一系列服务，包括内存分配，设备驱动程序等等。应用程序及其操作系统之间的不兼容性可以通过服务器虚拟化或演示虚拟化来解决。但是，由于在同一操作系统实例上安装的两个应用程序之间不兼容，因此需要“应用程序虚拟化”。

— 乔恩·罗德斯
source

5

我的流程之一编写得很差且非常不安全，管理层不希望对其进行修复，因为它会“过于昂贵”。我希望这个过程最终能被拥有，并且我想限制对系统的影响。如果您真的相信没有收获，那么您必须阅读有关chroot的更多信息。

— 鲁克

1

@Rook因为在Windows上您可以拥有与文件系统布局不同的访问权限。除了此答案的注释部分之外，您的胸脯是大多数人采取的使文件系统的各个部分与未经授权访问文件的过程隔离的方法。只需向用户提供访问所需文件系统和服务子集的权限即可启动该过程。

— Asad Saeeduddin

@Asad Saeeduddin说到文件系统，Windows不会自动运行USB记忆棒上不受信任的可执行文件吗？哪一年

— 2016年

我有一个特定的需求，而不是与安全性有关的-我要移植的程序希望在其自己的根文件系统上运行，因此要进行大量移植才能正确使用当前目录。值得庆幸的是，它确实独立于文件系统工作-在Windows上，它只会扩展到运行它的任何驱动器的根目录。如果我可以将Windows中的根目录“别名”到某个子目录，那么它会更加干净和容易跟踪，因此需要chroot。

— 基金莫妮卡的诉讼

7

沙盒http://www.sandboxie.com/

不完全像chroot。它确实为您指定的每个程序设置了一个沙箱。它可以轻松地使流程保持隔离。

— 杰森·伯格
source

2

我不会使用任何类似的东西，您正在Windows mate下运行。

NTFS具有您可以找到的最细粒度的访问权限。让特权较低的用户开始学习并不难，只允许该用户访问该单个应用程序的文件即可。

当您已经可以定义允许哪些用户在哪个目录中执行操作时，无需使用诸如chroot之类的安全工具。

就像给Linux下的Apache自己的用户，只允许在他的文件夹中工作一样，这没有什么不同。

— 好吧多基
source

2

这是正确的答案，为什么不需要的chroot

— 吉姆乙

@rook，然后他们没有遵循BPSAD和PTH白皮书来消除金票攻击。据我所知，它仍然仅适用于基于* nix的路缘。

— Jim B

@Jim B分隔在一个通常向浏览器，数据库和Web服务器授予管理权限的平台上听起来很陌生。但是，沙盒是不受平台限制的五重必要的深度防御措施。

— Rook

@rook，我认为您将权限与隔离混淆了，Windows默认情况下会隔离进程。如果有权限，进程只能访问/集成或影响另一个进程。

— Jim B

@JimB，我不认为（因此，除非我完全误解了您的评论）。例如，在Windows 7中启动进程不会给您任何安全提示，之后，该进程可以读取90％的存储驱动器，而无需询问任何系统进程。仅当它尝试修改时，说“ C：\ Program Files”，操作系统才能打起手来，但这不是安全性，这几乎没有涉及到基本要点。

— dimitarvp '16

1

Gow中包含一个chroot.exe （在Windows上为Gnu）

— 莫兹
source