零信任沙箱数据遭窃！究竟用了什么手段？

零信任是一种网络安全模型，其核心原则是“永不信任，始终验证”。在这种模型中，无论用户或设备位于何处，对资源的每一次访问都需要经过严格的身份验证和授权。

零信任沙箱技术通过构建一个隔离的软件环境来保护内部数据，在这个沙箱内，只有经过认证的用户和程序才能访问内部文件和网络。以下是一个简化的零信任沙箱示意图，展示了只有通过认证的沙箱环境才能访问到内部应用和数据的机制。接下来分享几个从零信任沙箱中拿出数据和内网穿透的案例。

零信任沙箱内的文件没有做加密，而是直接隐藏在系统的深层文件夹中，可以通过FileActivityWatch开启监听文件的读写，然后在沙箱内G盘创建文件“sandbox.txt”

监听日志中可以发现沙箱外部存在映射路径C:SDPSandboxuseradmin1__0__1driveG

零信任沙箱没有做防调试的保护，外部可抓取沙箱程序的内存，进而导致数据泄露，在沙箱内打开文件

沙箱外部使用调试工具，比如CE附加应用程序搜索关键字，即可搜索到相应的内存区域，将内存区域的数据导出即可

多款零信任产品存在沙箱内外网端口未隔离的问题，沙箱内通过127.0.0.1开启http服务，外部可访问到http服务端口。

沙箱外部可通过http下载沙箱内文件。

内外网端口不隔离的问题被修复后，发现沙箱内ping本机127.0.0.1时，wireshark环回网卡可以抓到ICMP协议的包，因此可以构建ICMP隧道传输文件

编写POC，在沙箱内读取“sandbox.txt”文件内容附加至ICMP协议载荷中，在沙箱外部通过Wireshark抓包可捕获到数据。   

编写POC于外部接收数据，由于在127.0.0.1会捕获到request和replay，因此会读取到2次

有的小伙伴应该已经想到，既然沙箱内外可以通过隧道的形式传输文件，那么通过隧道直接代理转发内网请求到外部，也是轻而易举。

尽管零信任沙箱提供了一种更为安全的数据处理环境，但其安全性并非无可击。面对上述威胁，企业和安全团队需要采取更为全面的防护措施，包括但不限于数据加密、实施防调试技术、确保网络隔离的完整性等。