什么是chroot jail？
Unix操作系统上的chroot是更改当前正在运行的进程及其子进程的表观根目录的操作。在此修改后的环境中运行的程序无法访问指定目录树之外的文件。这从本质上限制了他们对目录树的访问, 因此他们被称为" chroot jail"。
想法是创建一个目录树, 在其中复制或链接运行某个进程所需的所有系统文件。然后, 你可以使用chroot系统调用将根目录更改为该新树的基础, 并启动在该chroot环境中运行的进程。由于它实际上无法引用修改后的根目录之外的路径, 因此它无法恶意读取或写入这些位置。
为什么需要它, 它与虚拟机有何不同？
这是操作系统级别的虚拟化, 通常用于代替虚拟机来创建主机OS的多个隔离实例。与作为应用程序层虚拟化的虚拟机相比, 这是内核级虚拟化, 几乎没有开销, 因此, 它为在同一硬件上创建多个隔离实例提供了非常好的方法。虚拟机(VM)是机器的软件实现, 它们通常利用称为"硬件虚拟化"的东西来呈现正在运行的操作系统的虚拟映像。
如何使用？
创建chroot jail的基本命令如下：
chroot /path/to/new/root command
OR
chroot /path/to/new/root /path/to/server
OR
chroot [options] /path/to/new/root /path/to/server注意：只有root用户/特权用户才能使用chroot系统调用。有权访问该命令的非特权用户可以绕过chroot jail。
为" bash"和" ls"命令创建迷你jail的步骤
1.创建一个目录, 将其作为命令的根目录。
$ mkdir jailed
$ cd jailed2.创建所有基本目录以运行命令：根据你的操作系统, 所需的目录可能会更改。从逻辑上讲, 我们创建所有这些目录以保留所需库的副本。要查看所有目录都需要什么, 请参阅步骤4。
$ mkdir -p bin lib64/x86_64-linux-gnu lib/x86_64-linux-gnu3.运行"哪个"命令：运行"哪个"命令以找到ls和bash命令的位置。 运行哪个命令后, 将这些二进制文件复制到我们jail的" bin"目录中。确保你没有任何这些别名的命令。从现在开始, 我们将目录称为"入狱"目录, 以方便使用。
$ unalias ls # Required only if you have aliased ls command
$ unalias bash # Required only if you have aliased bash command
$ cp $(which ls) ./bin/
$ cp $(which bash) ./bin/4.复制适当的库/对象：对于我们中的可执行文件入狱要工作的目录, 我们需要在JAILED目录中复制适当的库/对象。默认情况下, 可执行文件查看以" /"开头的位置。要找到依赖项, 我们使用命令" ldd"
$ ldd $(which bash)
linux-vdso.so.1 => (0x00007ffc75dd4000)
libtinfo.so.5 => /lib/x86_64-linux-gnu/libtinfo.so.5 (0x00007f6577768000)
libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007f6577564000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f657719a000)
/lib64/ld-linux-x86-64.so.2 (0x000055979f3fd000)运行以下命令以创建适当的目录。
$ cp /lib/x86_64-linux-gnu/libtinfo.so.5 lib/x86_64-linux-gnu/
$ cp /lib/x86_64-linux-gnu/libdl.so.2 lib/x86_64-linux-gnu/
$ cp /lib/x86_64-linux-gnu/libc.so.6 lib/x86_64-linux-gnu/
$ cp /lib64/ld-linux-x86-64.so.2 lib64/同样对于ls
$ ldd $(which ls)
linux-vdso.so.1 => (0x00007fff4f05d000)
libselinux.so.1 => /lib/x86_64-linux-gnu/libselinux.so.1 (0x00007f9a2fd07000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f9a2f93e000)
libpcre.so.3 => /lib/x86_64-linux-gnu/libpcre.so.3 (0x00007f9a2f6cd000)
libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007f9a2f4c9000)
/lib64/ld-liux-x86-64.so.2 (0x000055e836c69000)
libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007f9a2f2ac000)$ cp /lib/x86_64-linux-gnu/libselinux.so.1 lib/x86_64-linux-gnu/
$ cp /lib/x86_64-linux-gnu/libc.so.6 lib/x86_64-linux-gnu/
$ cp /lib/x86_64-linux-gnu/libpcre.so.3 lib/x86_64-linux-gnu/
$ cp /lib/x86_64-linux-gnu/libdl.so.2 lib/x86_64-linux-gnu/
$ cp /lib64/ld-linux-x86-64.so.2 lib64/
$ cp /lib/x86_64-linux-gnu/libpthread.so.0 lib/x86_64-linux-gnu/最终目录结构必须与此类似,
5.sudo chroot：运行此命令以将根目录以及shell路径更改为JAILED目录。默认情况下, 它将尝试加载'/ bin / sh'shell。
$ cd ..
$ sudo chroot jailed /bin/bash在运行chroot命令时, 你可能会遇到此错误,
chroot: failed to run command `/bin/bash': No such file or directory这可能是由于两个原因造成的, 要么文件不存在(显而易见), 要么加载库失败或不可用。仔细检查这些库是否位于正确的位置。
6.必须弹出一个新的shell：它是我们的jail猛击。当前, 我们仅安装了2个命令bash和ls。幸运的是, cd和pwd是bash shell中的内置命令, 因此你也可以使用它们。
在目录中漫游, 尝试访问" cd /../"或类似名称。尝试打破jail, 可能你将无法做到。 🙂
要退出jail,
$ exit最重要, 最有趣的部分是, 当你跑步时,
$ ps aux找到流程, 你会发现只有一个流程,
root 24958 … 03:21 0:00 /usr/bin/sudo -E chroot jailed/ /bin/bash有趣的是, 被监禁的shell中的进程作为该shell的简单子进程运行。 JAILED环境内部的所有进程都是主机OS中的简单用户级进程, 并由内核提供的名称空间隔离, 因此开销最小, 并且获得了额外的好处, 即可以隔离。
可以从以下位置下载此处解释的jailed-bash目录的副本：这里.
同样, 你可以向虚拟监禁环境中添加更多命令。要添加更复杂的程序, 你可能需要创建更多目录, 例如" / proc"和" / dev"。这些增加了过程的复杂性。希望我们不需要出于我们的目的。
这就是你需要了解的有关chroot和目录管理的全部信息。我们的最终目标是了解什么是容器, 以及AWS(Amazon Web Services), Google Cloud和Docker等服务如何能够按需提供如此多的操作系统虚拟实例。此外, sys-admin如何在一台物理计算机上为多个域运行多个Web服务器。这只是了解它的一步one
参考文献：
- https://help.ubuntu.com/community/DebootstrapChroot
- https://wiki.archlinux.org/index.php/Install_from_existing_Linux
- http://serverfault.com/questions/162362/chroot-fails-cannot-run-command-bin-bash-no-such-file-or-directory
- https://wiki.archlinux.org/index.php/change_root
如果你还希望在此处展示你的博客, 请参阅日志用于在lsbin上撰写访客博客。
