Chrut से सतह तक: कैसे, क्यों और क्या करना है?

वास्तविक घटनाओं पर आधारित है।

कल्पना करें कि आपके पास एक बड़ी परियोजना है जिसके लिए आपको सॉफ्टवेयर एकत्र करने की आवश्यकता है। और आपको असेंबली फार्म में हलचल करने की भी इच्छा है, जिस पर आपके अधीनस्थ आवश्यक सॉफ़्टवेयर एकत्र करेंगे। और यह सब लिनक्स के तहत होता है, और सभी को न्यूनतम लागत के साथ "स्वच्छ" वातावरण को व्यवस्थित करने की आवश्यकता होती है। यह कैसे करना है?

कई लोगों ने हॉल में अपने हाथ खड़े किए और "चुरोट!" का नारा लगाया। आप इस बात से सहमत थे कि यह सरल, तेज है और सभी को मेजबान मशीन के पूर्ण संसाधन मिलते हैं। सबने तालियाँ बजाईं, निर्णय हुआ।

और इस समाधान के एकीकरण के एक सप्ताह बाद और "एक्स" कर्मचारी की बर्खास्तगी के बाद, आप जागते हैं - और सर्वर में एक प्राचीन स्वच्छ हार्ड डिस्क है। खलनायक ने डेवलपर्स के काम को नष्ट कर दिया, काम खड़ा हो गया।

यदि वह "संरक्षित" "बंद" विशेषता में था, तो उसने सब कुछ निकालने का प्रबंधन क्यों किया?


पूरे बिंदु यह है कि खलनायक कार्यक्रम के जाल में डाल सकता है। या बस बूट में रूट विशेषाधिकार थे।

चलो शुरू से। लिनक्स में, वास्तविक फाइल सिस्टम के अलावा, वर्चुअल वाले होते हैं। ऐसी ही एक प्रणाली / proc / - कर्नेल सूचना फ़ाइल प्रणाली है। उदाहरण के लिए, कमांड

$ zcat /proc/config.gz


हमें उस कॉन्फ़िगर फ़ाइल की सामग्री दिखाएगा जिसके साथ लोड किया गया कर्नेल जा रहा था। इस फ़ाइल सिस्टम में एक टन की जानकारी है, और जब आप लिनक्स के तहत कुछ इकट्ठा करते हैं, तो इसकी लगभग हमेशा जरूरत होती है। क्रमशः - यह एक चुरोट में लगाया गया था, जिसमें हमारा सैनिक बैठा था। और चूंकि चुरोट अपने कर्नेल को लोड नहीं कर रहा है, इसलिए इसे कमांड का उपयोग करके मेजबान सिस्टम से माउंट किया गया था

mount -t proc proc /mnt/chrootme/proc/


और, महत्वपूर्ण बात, यह मेजबान प्रणाली के बारे में जानकारी शामिल है!

In / proc में, फ़ॉर्म / proc / $ pid / cwd के फ़ोल्डर होते हैं, जिसमें आप उस फ़ोल्डर की सामग्री देख सकते हैं जो इस प्रक्रिया के लिए चालू है (और वर्तमान प्रक्रिया के लिए एक शॉर्टकट / proc / self / pid भी है)। सभी चल रहे प्रक्रियाओं के लिए ऐसे फ़ोल्डर हैं, जिसमें इनिट भी शामिल है।

और कौन सा फ़ोल्डर init के लिए चालू है? सही है /! और चूँकि init एक host init है, इसलिए "उठना" का कार्य करना कम कर दिया जाता है

# chroot /proc/1/cwd/


और उसके हाथ रगड़कर बोले: वायला, हम बाहर हैं! आगे की कार्रवाई की स्वतंत्रता केवल शोषित भेद्यता की कल्पना से सीमित है।

इस स्थिति में कैसे न आएं?

• अजनबियों को चिरौटे का माहौल कभी न दें!
• असेंबली फ़ार्म बनाने के लिए वर्चुअलाइज़ेशन का उपयोग करें। धीमा, लेकिन सुरक्षित (और svm / vtx प्रौद्योगिकियों के साथ - और धीमा नहीं)।
• जो आप पर भरोसा करते हैं, उनके लिए भी चेरोट में जड़ (या इसे पाने का मामूली मौका) न दें।