阿里云函数计算JS后端沙盒

本文纯属实验性质，如果有误请各位大佬指正。因使用本文所述的方法和技术所产生的安全风险，本文作者概不负责。

与上一篇介绍的前端沙盒相比，后端沙盒更加复杂而困难，安全风险也更高。当我们需要在服务端执行不受信任的动态代码时，往往我们需要限制代码对各种后端核心资源的访问权限，也需要限制执行代码的时间和空间。传统的方法通常是使用docker等隔离容器执行不受信任的代码，例如算法竞赛在线测评等，以此来实现对计算资源的精确控制和度量。

在本文中，我们介绍一种基于阿里云函数计算的JS后端沙盒。相比于传统的容器沙盒，函数计算沙盒更加简单容易，对于使用阿里云服务的应用平台也更加契合。

云函数

在阿里云函数计算服务中，创建一个新的服务和新的函数，选择基于事件的函数，不配置任何权限，不设置任何触发器。

这样，当前函数就不具有阿里云账户的任何权限，在其中也无法访问任何受保护的资源。因为没有触发器，所以此函数仅可通过SDK触发，我们就可以在上层应用中控制执行。

您还可以通过配置函数的超时时间和内存大小来限制函数的执行能力。安全起见，请不要配置并发。

沙盒代码

在新创建的函数中写入以下代码：

const AsyncFunction = (async function () {}).constructor

exports.handler = async (event, context, callback) => {try {const payload = JSON.parse(event.toString())if (!payload.code) throw 'No Code'const f = new AsyncFunction('ctx', payload.code)const res = await f(payload.ctx)callback(null, { ok: 1, res })} catch (e) { callback(null, { ok: 0, err: e.toString() }) }
} 

此事件函数接受一个JSON字符串，描述一个执行请求，包含一个代码字符串event.code和一个可以在代码中使用的参数对象event.ctx。通过创建AsyncFunction的方式实现动态代码执行，代码中可以使用await。

调用执行

使用阿里云函数计算官方SDK github.com/aliyun/fc-n…

npm i @alicloud/fc2 

在代码中，使用阿里云的账户密钥调用函数，并传入事件参数：

const FCClient = require('@alicloud/fc2')

const client = new FCClient('<account id>', {accessKeyID: '<access key id>',accessKeySecret: '<access key secret>',region: 'cn-shanghai'
})

// call function
resp = await client.invokeFunction(serviceName, funcName, JSON.stringify({code: 'return ctx.a + ctx.b',ctx: { a: 1, b: 2 }
})) 
```### 如何入门网络安全

#### 建议

多看书

阅读永远是最有效的方法，尽管书籍并不一定是最好的入门方式，但书籍的理解需要一定的基础；但是就目前来看，书籍是比较靠谱的入门资料。

现在Web安全书籍比较多，因此大家在学习的过程中可以少走了不少的弯路。如果以上推荐书籍阅读有困难，那就找自己能看得进的 Web 安全的书

当然纸上谈兵终觉浅，最好还是实践一下。

对于那些没有学习方向和资料的同学，可以看下我整理的资源，这份资料经历过社会的实践，可以说是当下全网较全的网络安全知识体系：
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

![在这里插入图片描述](https://img-blog.csdnimg.cn/bb231f9ba2ae4c538a62e1158a615d63.png)
![在这里插入图片描述](https://img-blog.csdnimg.cn/64ee2a70c4a84257acbf9bfd55f914ef.png)
![在这里插入图片描述](https://img-blog.csdnimg.cn/3896070a7676429aa4796b68caed2b66.png)

<img src="https://hnxx.oss-cn-shanghai.aliyuncs.com/official/1673601460401.png?t=0.5084107994384632" style="margin: auto" />