不建议全盘开放网络访问

[TheAceBlock]

无论在任何环境下，全盘网络访问都是强烈不建议的。 全盘网络访问会造成以下后果：

• 从BOIT变成真正的BOT（僵尸机），用来发起DDoS攻击等；
• 部分用户的恶意网络行为会对其他用户产生影响
• ~~会消耗网络流量，增加开销~~

当然，这个功能如果按这个项目目前的状况实现起来难度应该不小。目前程序已很大程度上依赖Windows API，想_在项目内_对网络进行限制已经比较难了，在_防火墙_级别限制可能会好一点。当然，我在信息安全方面目前也只是略有了解，我只是提出可能存在的问题，我暂时也没有合适的解决方案，但我真的希望看到一个程序变好变强。当我看到CreateProcessAsUser被当成sandbox用的时候，我的直觉告诉我这里一定会出问题。~~连Docker都能出现escapes的情况，我对Windows一个API的能力表示怀疑。~~ ~~再说Windows 10 的Sandbox组件是干什么的~~

~~也许当初就不该用Windows来着~~

[kernelbin]

网络现在暂时全盘开放，主要是因为不少用户有使用网络的正当需求，我也无法很快的写出一套完善的网络管理系统。将会在将来通过白名单的形式进行限制，并且也会对网速进行一些控制。

通过CreateProcessAsUser降低权限进行控制的手段，也被Windows下著名的沙盒程序Sandboxie作为控制手段之一。虽然可能仍然存在着安全漏洞，但是这样做已经足够抵御绝大多数恶意攻击。

对沙盒内进程的控制我还会再进一步加强，计划包括但不限于以下措施：

• API Hook （这会在将将来成为对沙盒内程序进行限制和功能扩展的主要手段，包括限制网络的部分）
• DACL 和 SeAccessCheck 权限控制系统
• Windows Station （用于隔离程序创建的窗口等对象）

或许我也会推出基于docker / VM的可选沙盒以替代这一内置沙盒，取决于我的精力吧。