gandc/zapret2
Template
1
0
Fork 0
mirror of https://github.com/bol-van/zapret2.git synced 2026-03-14 06:13:09 +00:00
Code Issues Packages Projects Releases Wiki Activity

update docs

Browse Source
This commit is contained in:
bol-van
2025-12-13 16:54:54 +03:00
parent f4c4d5e558
commit 9630d0a9df
1 changed files with 21 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files

21
docs/manual.md
View File

@@ -634,6 +634,27 @@ nfqws2 <глобальные_параметры>
В остальных системах нужно копаться в powershell или лезть в реестр, чтобы раскидать подключения по нужным GUID,
если вдруг они раскидались системой неправильно. Но можно и не бороться, а просто внести список GUID, назначенных системой автоматически.
## Песочница
В целях безопасности nfqws2 после инициализации сбрасывает свои привилегии.
Весб LUA код выполняется только после сброса привилегий. Он никогда не получает исходные права.
BSD :
* Меняется UID/GID на указанные в параметрах `--user`, `--uid`
Linux :
* Меняется UID/GID на указанные в параметрах `--user`, `--uid`
* Включается seccomp фильтр, запрещающий exec и ряд файловых операций - чтение содержимого каталогов, создание/удаление каталогов, создание специальных файлов (линки, девайсы), посылание сигналов (kill), ptrace.
В случае нарушения процесс аварийно завершается.
Windows :
* Хотя драйвер windivert требует привилегий администратора, после его инициализации процесс winws2 ставит себе low mandatory level.
Это предотвращает доступ на запись практически ко всем файлам и обьектам, защищенным security descriptor.
Есть простой способ передать LUA коду каталог, доступный на запись - параметр `--writeable[=<dirname>]`.
nfqws создает каталог, назначает на него такие права, чтобы LUA код смог писать туда файлы, передает имя директории в переменной env `WRITEABLE`.
Если dirname не задан, на Windows создается каталог внутри `%USERPROFILE%/AppData/LocalLow`
## Вызов LUA кода
LUA код вызывается в 2 этапа.