Как работает механизм changeroot?

chroot изменяет корневой каталог текущего запущенного процесса и его потомков, изолируя их в субдиректории файловой системы. Процессы внутри chroot не могут получить доступ к файлам или каталогам выше нового корневого каталога. Это достигается путем изменения структуры файловой системы, которую видит ядро для данного процесса. То есть вызовы к системным функциям, обращающимся к файлам по абсолютному пути (например, /usr/bin/ls), разрешаются относительно нового корневого каталога.

Применение:

• Изоляция процессов: Создание песочницы для тестирования или запуска ненадежного кода.
• Восстановление системы: Запуск оболочки в поврежденной файловой системе с использованием рабочего экземпляра другой ОС.
• Развертывание приложений: Упаковка приложений с их зависимостями для обеспечения переносимости.
• Сетевые сервисы: Изоляция демонов, чтобы ограничить ущерб в случае компрометации.

Ограничения:

• Не полная изоляция: Процесс внутри chroot может все еще влиять на систему, например, использовать ресурсы ЦП и памяти, изменять настройки ядра (если у него есть соответствующие привилегии).
• Необходимы зависимости: Файлы, необходимые для запуска программ внутри chroot (исполняемые файлы, библиотеки), должны быть скопированы внутрь нового корневого каталога.
• Выход из chroot: Процесс с root-привилегиями может выйти из chroot с помощью системных вызовов, хотя это и нетривиально.

Пример использования:

bash

После выполнения последней команды, новая оболочка bash будет работать внутри каталога /my_chroot, и ее корневым каталогом будет считаться /my_chroot. Команда ls / внутри этого bash покажет список файлов и каталогов внутри /my_chroot.