chroot изменяет корневой каталог текущего запущенного процесса и его потомков, изолируя их в субдиректории файловой системы. Процессы внутри chroot не могут получить доступ к файлам или каталогам выше нового корневого каталога. Это достигается путем изменения структуры файловой системы, которую видит ядро для данного процесса. То есть вызовы к системным функциям, обращающимся к файлам по абсолютному пути (например, /usr/bin/ls), разрешаются относительно нового корневого каталога.

Применение:

Изоляция процессов: Создание песочницы для тестирования или запуска ненадежного кода.
Восстановление системы: Запуск оболочки в поврежденной файловой системе с использованием рабочего экземпляра другой ОС.
Развертывание приложений: Упаковка приложений с их зависимостями для обеспечения переносимости.
Сетевые сервисы: Изоляция демонов, чтобы ограничить ущерб в случае компрометации.

Ограничения:

Не полная изоляция: Процесс внутри chroot может все еще влиять на систему, например, использовать ресурсы ЦП и памяти, изменять настройки ядра (если у него есть соответствующие привилегии).
Необходимы зависимости: Файлы, необходимые для запуска программ внутри chroot (исполняемые файлы, библиотеки), должны быть скопированы внутрь нового корневого каталога.
Выход из chroot: Процесс с root-привилегиями может выйти из chroot с помощью системных вызовов, хотя это и нетривиально.

Пример использования:

# Создание каталога для chroot
sudo mkdir /my_chroot

# Копирование необходимых файлов (пример)
sudo cp /bin/bash /my_chroot/bin/
sudo cp /bin/ls /my_chroot/bin/
# Необходимо скопировать также библиотеки, от которых зависят эти программы

# Изменение корневого каталога
sudo chroot /my_chroot /bin/bash

После выполнения последней команды, новая оболочка bash будет работать внутри каталога /my_chroot, и ее корневым каталогом будет считаться /my_chroot. Команда ls / внутри этого bash покажет список файлов и каталогов внутри /my_chroot.

Как работает механизм changeroot?