macOS 的沙盒能否限制 qq 扫描硬盘

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

这是一个创建于 1435 天前的主题，其中的信息可能已经有所发展或是发生改变。

前几天爆出 qq 会扫描 chrome 的浏览记录，假如在 mac appstore 下载的 qq，有没有读取其他 app 的权限呢？有没有 mac 的开发者科普一下沙盒对 app 的限制有多大。

沙盒

Mac

App

扫描

31 条回复 • 2021-01-18 17:54:02 +08:00

mgrddsj

2021-01-17 19:52:37 +08:00

爆出来说 QQ 扫硬盘只是 Windows 版而已。Mac App Store 上面下载的软件权限严得很，应该是不可能读取到除了自己沙盒外的文件的。

lostberryzz

2021-01-17 20:05:50 +08:00

系统偏好设置 -> 安全性与隐私 -> 隐私 -> 完全磁盘访问权限 /文件和文件夹

目前看来桌面端权限控制最好的还是 macOS

MasterCai

2021-01-17 20:17:45 +08:00

那自己从官网下的版本是不是存在这个问题呢，MAS 版本有点残废
@lostberryzz 这两个选项下都没有看到 QQ 啊，是不是意味着 QQ 就没有这样的权限访问我的其他文件夹呢

Jirajine

2021-01-17 20:22:54 +08:00 via Android

@MasterCai 也可能是 QQ 申请了类似于“完全访问”或“兼容模式”，即可以不受沙盒限制访问所有当前用户有权限访问的文件系统。

ysc3839

2021-01-17 20:25:23 +08:00 via Android

没记错的话 macOS 的沙盒只对商店里的 app 有效，别的地方下载的不受限制。
可以去下载一些文件管理或者终端软件试试。

aqqwiyth

2021-01-17 20:43:10 +08:00

10.15 已经有这个权限了.APP 读取任意目录都要授权

ItzhacLea

2021-01-17 20:49:29 +08:00

建议直接上 HIPS，目前跑了这么久，暂时没看到 QQ 会访问不属于自己的文件

这是拿微信发送图片手动触发的，如果你怀疑小龙监控了你，那就监控回去：

bigbyto

2021-01-17 21:21:15 +08:00

@lostberryzz 看来在 mac appstore 下载的暂时还是安全的

bigbyto

2021-01-17 21:26:24 +08:00

@ysc3839 是的，必须要在 appstore 下载。不在 appstore 上架的国产软件我都用虚拟机隔离。

Cavolo

2021-01-17 21:32:52 +08:00 via iPhone

微信不管非 mas 版功能多丰富（小程序），没有上架 mas 的我宁愿用功能缺失的 mas 版

dioxide

2021-01-17 21:36:21 +08:00

@ItzhacLea 这是什么软件,能提供个链接么?

ItzhacLea

2021-01-17 22:11:21 +08:00

@dioxide 是 F-Secure 的，目前还在 beta 测试中。https://beta.f-secure.com/welcome/

如果你的系统还是 Catalina，那么还有同类软件： https://www.oneperiodic.com/products/handsoff/

SoloCompany

2021-01-17 22:30:58 +08:00

想什么呢
隐私限制的磁盘权限当然不仅仅是对 MAS 的应用有效, 甚至包括命令行
所以你需要在隐私设置里面给 iTerm 授权后才能正常的使用 shell 来访问 FS

SoloCompany

2021-01-17 22:31:52 +08:00

当然如果 QQ 让你装个 kext 你也点 yes 并且输入帐号密码的话, 那谁也无法阻挡你了

ItzhacLea

2021-01-17 22:34:24 +08:00

@SoloCompany 话是这么说没错，不过有例外。只需要简单的一个 drag and drop，shell 就可以直接访问受保护的文件夹了。NSOpenPanel 也可以

Undocumented Catalina file access change: lapcatsoftware.com/articles/macl.html

Lemeng

2021-01-17 22:34:49 +08:00

我只能说，win 对于权限，几乎是奢求，装好 exe，几乎裸奔在开发者面前。看他想不想看

SoloCompany

2021-01-17 22:36:11 +08:00

@ItzhacLea #15 DnD 和 Open Dialog 难道不是正常交互吗, 这和浏览器访问文件有啥不同吗

ItzhacLea

2021-01-17 22:52:37 +08:00

@SoloCompany 问题在于 com.apple.macl 受到 SIP 的保护，而且是 presist 在 FS 里的。只要我能骗你一次用 NSOpenPanel 打开 $HOME，接下来都不会受到 TCC 的控制

ItzhacLea

2021-01-17 22:53:19 +08:00

@ItzhacLea *persist

azhi2007

2021-01-17 23:11:04 +08:00

已经注销一个皇冠的 QQ，不用 QQ 了

Hackerchai

2021-01-18 00:23:13 +08:00 via Android

所以非 MAS 应用到底有没有磁盘访问的限制

MrKrabs

2021-01-18 01:16:52 +08:00

命令行都有限制，你们是不是没用过 mac

ysc3839

2021-01-18 02:49:58 +08:00

@lostberryzz @aqqwiyth @SoloCompany @ItzhacLea @Hackerchai @MrKrabs
自己在虚拟机中测试了一下 macOS 10.15.7 (19H2) 的情况。测试的软件是 iTerm2，从 iTerm2 官网下载的，非商店版。
结论是只有桌面、下载等部分文件夹有限制，其他地方可以随意读取，未测试写入情况。

某软件的配置文件是不需要授权就能读到的。

neoblackcap

2021-01-18 02:59:51 +08:00

@Lemeng windows 10 也有沙盒，不过那是属于高级功能，家庭版本不带。专业版直接快速开一个虚拟机，如果你觉得隐私很重要，完全可以用这个功能

PeakFish

2021-01-18 09:48:33 +08:00

我老感觉我的电脑被人控制了，大神们能怎么排查吗？有没有能查看本地网络传输什么信息的软件，运行的可疑程序，端口什么的。macOS 。

systemcall

2021-01-18 10:10:30 +08:00

@neoblackcap
专业版还有 Windows Defend 应用程序高级防护，可惜只能给 Edge 用。使用这个功能，有点像是虚拟机的无缝模式。别的应用也想用，得再给 ms 打钱

janxin

2021-01-18 11:46:55 +08:00

这就是建议为什么从 app store 下载应用的原因

Mitt

2021-01-18 12:46:34 +08:00

https://developer.apple.com/library/archive/documentation/Security/Conceptual/AppSandboxDesignGuide/AboutAppSandbox/AboutAppSandbox.html

关于 Mac 软件的安全性和文件权限具体可以看这个

@ysc3839 #23 举的例子是因为 iterm2 不属于沙盒软件，MAS 的软件必须开启沙盒，所以要确保 99%的安全性最简单的方法就是下载 MAS 版的软件，或者在监视器里看一下确保软件是运行在沙盒里的

BernieDu

2021-01-18 15:48:15 +08:00

@ysc3839 iterm 不是个壳子吗。。套的系统的 shell，比如 bash 和 zsh

Licsber

2021-01-18 17:53:29 +08:00

t/664415
早就说了（得禁止所有权限
要权限得白名单

Licsber

2021-01-18 17:54:02 +08:00

https://www.v2ex.com/t/664415
话说链接是怎么贴的 /t/664415