Как работает механизм changeroot?

chroot изменяет корневой каталог текущего запущенного процесса и его потомков, изолируя их в субдиректории файловой системы. Процессы внутри chroot не могут получить доступ к файлам или каталогам выше нового корневого каталога. Это достигается путем изменения структуры файловой системы, которую видит ядро для данного процесса. То есть вызовы к системным функциям, обращающимся к файлам по абсолютному пути (например, /usr/bin/ls), разрешаются относительно нового корневого каталога.

Применение:

• Изоляция процессов: Создание песочницы для тестирования или запуска ненадежного кода.
• Восстановление системы: Запуск оболочки в поврежденной файловой системе с использованием рабочего экземпляра другой ОС.
• Развертывание приложений: Упаковка приложений с их зависимостями для обеспечения переносимости.
• Сетевые сервисы: Изоляция демонов, чтобы ограничить ущерб в случае компрометации.

Ограничения:

• Не полная изоляция: Процесс внутри chroot может все еще влиять на систе