.ova文件可以包含漏洞吗？

Question

是否可以为准备一个.ova文件，该文件将在设置为使用Whonix时访问NAT网络？Whonix中可以使用像Windows这样的预先配置的虚拟机，但是它们是否可以安全地导入？

我想知道有一个可疑的项目是由Tor社区的人发布的(如果有人感兴趣，我可以发送一个链接下载)。这个VM也使用了客户添加。

Answer 1

具体来说，它是否包含漏洞与OVA文件是否具有恶意这一更广泛的问题无关。对更广泛问题的回答是肯定的，绝对的。

开放虚拟化格式规范为您提供了一些潜在向量的概念，但显而易见的是，它可以将整个OS磁盘映射到VM，然后在VM启动时运行代码，通过网络将其解压缩，或修改磁盘上的文件以提高权限或删除恶意软件(在这一点上，它不需要坚持操作系统对文件系统访问的安全控制)。VM还可以将任意USB设备映射到VM (包括插入的USB棒)，并任意使用它们。

如果我们想进入更复杂的攻击机制，VM可以利用CPU、PCH或内存(例如最近的vPro/AMT错误或rowhammer)中的平台漏洞来有效地逃避VM环境，并在主机上运行任意代码。

您绝对不应该运行不受信任的OVF。

Answer 2

任何文件都可以包含漏洞.

。

不管它是否工作，或者如果它需要一个加载程序，则是另一个故事。

例如，如果在处理.ova文件时存在缓冲区溢出漏洞，那么是的，它可能包含可利用的漏洞。

这完全取决于您是否有一个易受攻击的应用程序，该应用程序处理包含漏洞的文件。

Answer 3

是的，任何客户操作系统(如OVA文件中包含的)都可能携带恶意代码；即使仅仅是具有一定复杂性的数据文件也可以有效地启动攻击。

因此，您可能需要的Whonix风格是在Qubes操作系统管理程序下运行的，因为Qubes的每个方面都是为了防止来自来宾VM的权限提升攻击。事实上，创建者认为客户妥协是可能的，在这种情况下，一个合理安全的操作系统应该保护系统的其他部分。

请注意Whonix网站上列出的Qubes 安全优势的长列表。

相反，VirtualBox是一个主要为管理员方便而设计的不那么严格 VM环境，链接中的第二个要点解释了这一点。

这并不是说Qubes在任何情况下都是无懈可击的，而是在大多数情况下，它大大提高了标准。由于您的目标似乎是防止可疑代码从Tor隧道以任何方式逃离或泄漏，那么这可能是您的最佳选择。

Qubes的主要缺点，除了失去GPU的访问，是如何挑剔的硬件。它需要先进的CPU功能，如IOMMU，SLAT，EPT和一个BIOS，配置它们完全正确。Qubes HCL作为硬件指南存在。

将OVA文件转换为Qubes：

首先，将OVA下载到AppVM中，然后：

tar xvf filename.ova
# ...produces a .vmdk disk image
qemu-img convert -f vmdk filename-disk1.vmdk -O raw filename.img
# ...produces a flat disk image

接下来，在Qubes中创建一个HVM (这里称为'mynewHVM')，然后在dom0中创建：

qvm-run -p myappvm 'cat /home/user/filename.img' >filename.img
# ...transfer img from appVM to dom0
mv filename.img /var/lib/qubes/appvms/mynewHVM/root.img
# ...for Qubes 3.x

从那里，您可以访问HVM的设置面板，并将Network更改为sys-whonix。

最后，如果磁盘映像包含Windows，请参见这些小费。